BTCPay Server — бесплатное ПО с открытым исходным кодом, которое компании используют для приема платежей в биткоинах — в воскресенье призвал операторов отключить свои инстансы после сообщений о том, что злоумышленники опустошают горячие кошельки, подключенные к серверам с этой платформой.

Позднее проект сообщил, что атака была нацелена на инстансы с версией 2.4.1 или старше, и что среди пользователей последней версии 2.4.7 достоверных сообщений об опустошении горячих кошельков не поступало.

Предупреждение было опубликовано на X в 17:25 по восточному времени США 1 ноября:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) 1 ноября 2026 г.

Команда, упомянутая в предупреждении, ./btcpay-down.sh, останавливает работающий инстанс BTCPay. Около двух часов спустя основатель BTCPay Николя Дорье сообщил, что сообщения касались, судя по всему, версий старше 2.4.2, и что атакующий вошел на затронутые серверы с правами администратора.

Позднее в воскресенье проект сообщил в следующем посте на X, что расследование выявило вектор атаки, нацеленный на инстансы с версией 2.4.1, выпущенной 23 июля, или более старыми. «We have no credible reports of hot wallet drains for users running the latest 2.4.7 release», — говорится в сообщении, где всех призывают поддерживать ПО в актуальном состоянии, а пострадавших — направить сведения и логи команде безопасности проекта.

Некоторые хостинг-провайдеры, включая LunaNode, автоматически отключили инстансы BTCPay, чтобы старые версии не подвергались эксплуатации, сообщил проект. BTCPay не раскрыла, сколько серверов пострадало и сколько биткоинов было похищено. Полный масштаб инцидента остается неясным. Первоначальное предупреждение проекта связывало рекомендацию об отключении с завершением расследования, поэтому затронутые операторы ожидали итогов проверки, прежде чем возвращать инстансы в работу.

Горячие кошельки и экстренное обновление BTCPay

Поскольку BTCPay является самостоятельным (self-hosted) решением, каждый продавец запускает ПО на собственном сервере, и центрального оператора, способного отключить инстансы во всей сети, не существует. Такая распределенная архитектура означает, что установка обновлений также остается на усмотрение отдельных операторов: обновления доходят до сети лишь по мере их применения владельцами серверов. Продавцы могут выбрать запуск горячего кошелька, при котором сид кошелька хранится на подключенном к интернету сервере, что позволяет автоматически подписывать транзакции. Sweep — «опустошение», маневр, описанный в предупреждении проекта, — переводит весь баланс кошелька на адрес, контролируемый атакующим. Холодные кошельки, напротив, хранят ключи подписи офлайн и не могут подписывать транзакции автоматически. Собственная документация BTCPay помечает функцию горячего кошелька как "DANGER" и предупреждает, что она "comes with security implications."

Атаки произошли через несколько дней после того, как BTCPay в четверг выпустила версию 2.4.7 в качестве экстренного обновления, устраняющего одну критическую и несколько уязвимостей средней степени тяжести, на которые, по словам проекта, обратили внимание через сканер открытого ПО frontier от Anthropic. Проект не сообщил, эксплуатировались ли атакующими эти уязвимости.

Это не первый инцидент безопасности для проекта в этом году. В августе BTCPay предупредила, что критическая уязвимость во всех версиях до 2.4.2 активно эксплуатируется, и попросила пользователей обновить ПО или отключить серверы. Позднее сторонники проекта профинансировали вознаграждение за возврат средств — 10% от любых возвращенных пострадавшим похищенных средств, с потолком выплаты в 3 BTC.