Опустошения горячих кошельков, о которых сообщили в воскресенье, по всей видимости, затронули инстансы BTCPay Server с релизами старше версии 2.4.2, сообщил Николя Дорье, основатель BTCPay Server. В этих случаях злоумышленник входил как администратор, и команда заявила, что всё ещё пытается выяснить, как был получен этот доступ.

Расследование указывает на 2.4.1 или более ранние версии

BTCPay выпустил предупреждение в 17:25 по восточному времени в воскресенье, опубликованное в X, призывая всех, кто запустил инстанс, отключить его с помощью ./btcpay-down.sh до завершения расследования. Дорье добавил примерно два часа спустя, отметив, что собственные публичные серверы BTCPay, работающие на версии 2.4.7, атакованы не были. Позднее он сказал, что у команды есть следы, указывающие на то, что «были использованы уязвимости версий до 2.4.2».

Обновление, опубликованное BTCPay в 23:07 по восточному времени (здесь и здесь), сузило цель: расследование выявило вектор атаки, направленный на инстансы с версией 2.4.1, выпущенной 23 июля, или более ранними.

Проект сообщил о «достоверных сообщениях об опустошении горячих кошельков» отсутствием — от пользователей 2.4.7, выпущенной 29 октября, таких сообщений не поступало. Операторам рекомендовали обновлять ПО, а пострадавшим — отправить детали и логи команде безопасности.

Некоторые хостинг-провайдеры, возможно, автоматически отключили инстансы, чтобы предотвратить эксплуатацию старых версий. BTCPay поблагодарил LunaNode и других за оперативные действия. Дорье сказал, что операторы, обновившиеся хотя бы раз после выхода 2.4.2, могут «не паниковать», предупредив при этом пользователей не держать слишком много средств в горячем кошельке и пообещав более подробный пост в блоге.

Воскресные опустошения затронули средства, которые августовское предупреждение считало защищёнными

Поскольку BTCPay — самостоятельно размещаемое ПО, проект не может изменить или отключить сервер мерчанта. Режим горячего кошелька подписывает платежи сидом, хранящимся на этом сервере, то есть тот, кто контролирует сервер, может переместить монеты, согласно документации BTCPay. На практике релиз безопасности вроде 2.4.2 защищает конкретный сервер только после того, как его оператор установит обновление.

Версия 2.4.2 относится к августу. BTCPay выпустил 2.4.2 7 августа для исправления критической уязвимости, которая уже активно эксплуатировалась, как тогда сообщал Cryptopolitan. Все предыдущие релизы, включая release-кандидаты 2.4.2, позволяли неаутентифицированному злоумышленнику похитить учётные данные macaroon LND, что давало возможность захватить узел Lightning и переместить его средства. Патч подробно описан в предупреждении о безопасности проекта. Foundation и Citadel21 сообщили об атаках на свои узлы Lightning, а Крейг Роу, разработчик Sparrow Wallet, сказал, что тоже пострадал.

С релизом 2.4.2 macaroon LND regenerated автоматически. Операторам, открывшим LND через собственный прокси, сервис Tor или проброшенный порт, по-прежнему приходилось менять эти учётные данные вручную. Версия 2.4.2 также исправила отдельный обход двухфакторной аутентификации TOTP через Basic Authentication в Greenfield API, о котором сообщили 4 августа. BTCPay заявил, что эта ошибка не связана со взломом macaroon и что собственные ончейн-кошельки проекта, включая горячие, эта уязвимость не затронула.

Ни BTCPay, ни Дорье не сказали, использовал ли злоумышленник в воскресенье августовскую ошибку macaroon или другую уязвимость версий до 2.4.2. Августовскую ошибку macaroon можно было эксплуатировать без какой-либо аутентификации; воскресные вторжения, напротив, включали вход от имени администратора. В августе сторонники проекта учредили вознаграждение за возврат средств в размере 10% возвращённой суммы, до 3 BTC, как сообщал Cryptopolitan. Отдельно River сообщил, что среднее использование Bitcoin мерчантами выросло на 74% в 2025 году, а объём транзакций Lightning превысил 1 млрд долларов в месяц — тот вид платёжной активности мерчантов, который самостоятельно размещаемое ПО вроде BTCPay и создано обрабатывать.