حذّر BTCPay Server التجار ومشغّلي أنظمة الدفع المستضافة ذاتيًا من إبقاء خوادمهم متصلة بالإنترنت، بعد ورود تقارير عن مهاجمين يفرغون محافظ بيتكوين الساخنة المتصلة.
وجّه الإشعار الطارئ، الذي نُشر عبر الحساب الرسمي للمشروع قرابة الساعة 22:25 بالتوقيت العالمي المنسق في 1 نوفمبر 2026، المشغّلين إلى إيقاف مثيلات BTCPay Server الخاصة بهم، فيما كان المطورون يحققون في الاختراقات المُبلّغ عنها.
يثير الحادث مخاوف لدى التجار الذين يستخدمون بنية تحتية مستضافة ذاتيًا لمدفوعات بيتكوين لتجنب الوسطاء التقليديين في الدفع. كما يسلط الضوء على تحدٍ أمني تواجهه البرمجيات مفتوحة المصدر: فإصلاح الثغرة لا يحمي إلا الأنظمة التي تتلقى التحديث وتطبقه فعليًا.
وقت صدور التقارير الأولية، لم يؤكد المطورون مقدار Bitcoin المسروق، أو عدد التجار المتضررين، أو كيفية حصول المهاجمين على الوصول في البداية.
المطورون يطلبون من المشغّلين إيقاف خوادم BTCPay عن العمل
أفادت رسالة الطوارئ الصادرة عن المشروع بأن مهاجمين غير مصرّح لهم كانوا يستنزفون أرصدة المحافظ الساخنة المتصلة بتثبيتات BTCPay Server.
طُلب من المشغّلين إيقاف نسخهم باستخدام الأمر ./btcpay-down.sh إلى أن يتمكن المحققون من تحديد نطاق الحادثة وسببها.
عزز المساهم الأساسي Uncle Rockstar Developer التحذير، واصفًا الوضع بأنه طارئ، ومطالبًا المشغّلين الذين يستخدمون محافظ ساخنة بإيقاف خوادمهم.
BTCPay Server برنامج دفع مفتوح المصدر يتيح للتجار قبول Bitcoin مباشرةً، دون الاعتماد على معالج دفع تقليدي. ويمكن للشركات استضافة البرنامج بنفسها والاحتفاظ بالسيطرة على بنية الدفع التحتية وترتيبات المحافظ.
يوفر هذا النموذج استقلالية تشغيلية أكبر، لكنه يحمّل المشغّل أيضًا مسؤولية صيانة الخوادم وتحديث البرمجيات وتأمين المحافظ.
Nicolas Dorier يشير إلى إصدارات أقدم من البرمجيات
شارك مؤسس BTCPay Server، Nicolas Dorier، لاحقًا نتائج أولية وجّهت التحقيق نحو التثبيتات الأقدم.
بحسب Dorier، كانت الأنظمة المتضررة تعمل بإصدارات سابقة للإصدار 2.4.2. ويُقال إن المهاجمين حصلوا على صلاحيات المسؤول، فيما أشارت الآثار الجنائية الرقمية إلى وجود ثغرات في تلك الإصدارات الأقدم.
وأشار Dorier أيضًا إلى أن الخوادم العامة وخوادم العرض التوضيحي التي تعمل بالإصدار 2.4.7 لم تتعرض للهجوم.
هذا التمييز مهم لأنه لا يشير إلى أن أحدث إصدار هو المصدر الظاهر للاختراقات المبلغ عنها. ومع ذلك، لا ينبغي تفسير هذه الملاحظة على أنها دليل على أن كل تثبيت يعمل بالإصدار 2.4.7 محصّن ضد الهجمات.
لم يكن المحققون قد نشروا بعد تفسيرًا تقنيًا كاملًا، لذا ظل المدخل الدقيق للهجوم والصلة بين عمليات السرقة المبلغ عنها والثغرات التي كُشف عنها سابقًا دون حسم.
ثغرة سابقة في Lightning Network تضيف سياقًا
كما أعاد التحقيق تسليط الضوء على مشكلة أمنية منفصلة في BTCPay Server كُشف عنها في أغسطس.
أتاحت تلك الثغرة للمهاجمين غير المصادق عليهم الحصول على بيانات اعتماد macaroon الخاصة بـLightning Network Daemon (LND). وتعمل هذه البيانات كرموز تفويض تمنح إمكانية الوصول إلى عمليات محددة في Lightning Network.
عالج المطورون المشكلة في الإصدار 2.4.2. وقالوا آنذاك إن محافظ BTCPay Server الخاصة على السلسلة لم تكن معرضة للخطر عبر تلك الثغرة تحديدًا.
لم يتضح ما إذا كانت تقارير سرقة المحافظ في نوفمبر مرتبطة بالثغرة نفسها، أو بثغرة أخرى تؤثر في الإصدارات الأقدم، أو بمزيج من المشكلات الأمنية.
هذا التمييز مهم. فقد تساعد ثغرة سابقة جرى تصحيحها في تفسير تعرض الأنظمة القديمة للخطر، لكن لا يمكن اعتبارها السبب المؤكد من دون نشر تقرير جنائي رقمي.
الإصدار 2.4.7 عالج 85 نتيجة أمنية قبل الحادثة بأيام
لفت توقيت التحذير الطارئ مزيدًا من الانتباه، لأن BTCPay Server كان قد أصدر تحديثًا أمنيًا رئيسيًا قبل ثلاثة أيام فقط.
في 29 أكتوبر 2026، أصدر المشروع الإصدار 2.4.7 بعد تقارير عن ثغرات رُصدت عبر مبادرة Anthropic لفحص أمن البرمجيات مفتوحة المصدر.
عالج التحديث 85 نتيجة مُبلغًا عنها، موزعة على النحو الآتي:
حالة واحدة حرجة
13 حالة عالية الخطورة
52 حالة متوسطة الخطورة
19 حالة منخفضة الخطورة
ظهرت هذه النتائج في خضم توسع أوسع نطاقًا في أبحاث الثغرات الأمنية بمساعدة الذكاء الاصطناعي. ففي عام 2026، أظهرت الأنظمة التي طورتها Anthropic وOpenAI وGoogle قدرات متقدمة بشكل متزايد على تحديد نقاط الضعف المحتملة في البرمجيات.
أفادت مبادرة الفحص التابعة لـAnthropic برصد أكثر من 29,000 ثغرة محتملة خلال ستة أشهر، رغم أن جزءًا منها فقط خضع للمراجعة اليدوية.
توضح حادثة BTCPay Server الفرق بين اكتشاف الثغرات وتأمين البرمجيات التي تعمل بالفعل في بيئة الإنتاج. فقد ينشر المشروع إصلاحات، لكن الخوادم التي يشغّلها مشغّلون مستقلون لا تُحدَّث تلقائيًا.
يمكن للتثبيت الذي يظل على إصدار أقدم أن يواصل تعريض المستخدمين لنقاط ضعف عالجها المطورون بالفعل.
التجار يوقفون بنية الدفع التحتية عن العمل
دفع التحذير شركات، من بينها Coincards، إلى إيقاف تثبيتات BTCPay Server عن العمل.
بالنسبة إلى التجار، ينطوي القرار على مفاضلة تشغيلية فورية. فإبقاء خادم الدفع متاحًا يدعم المعاملات الاعتيادية، لكن ترك محفظة ساخنة قد تكون مخترقة متصلة بالإنترنت قد يعرّض الأموال لمزيد من التحويلات غير المصرح بها.
كما جدد Dorier تأكيد أهمية إبقاء أرصدة المحافظ الساخنة محدودة بالمبالغ التي يستطيع المشغّلون تحمّل خسارتها.
تتصل المحافظ الساخنة بالأنظمة المتصلة بالإنترنت، وتُستخدم عمومًا للمعاملات الاعتيادية. ويجعلها سهولة الوصول إليها مفيدة لمعالجة المدفوعات، لكنه يعني أيضًا أنها تتطلب ضوابط أمنية دقيقة وحدودًا للمبالغ المحفوظة فيها.
لذلك، أعادت الحادثة المبلغ عنها تسليط الضوء على مخاطر تعرّض المحافظ، وصلاحيات الوصول إلى الخوادم، وممارسات التحديث، وفصل الأموال التشغيلية عن الاحتياطيات الأكبر.
التحدي الأمني الأوسع للمدفوعات المشفرة ذاتية الاستضافة
يمنح نموذج BTCPay Server التجار سيطرة مباشرة على مدفوعات Bitcoin، لكن الاستضافة الذاتية لا تلغي الحاجة إلى إدارة أمنية مستمرة.
يتعين على المشغّلين متابعة إصدارات البرمجيات، وتطبيق التصحيحات، وحماية بيانات اعتماد المسؤولين، وتقييم المخاطر المرتبطة بالمحافظ المتصلة. وقد تترك التحديثات المتأخرة الأنظمة عرضة للخطر حتى بعد إتاحة المطورين إصلاحًا.
قد تزيد أبحاث الأمن بمساعدة الذكاء الاصطناعي من سرعة اكتشاف الثغرات والإبلاغ عنها. ويمكن أن يحسّن ذلك أمن البرمجيات بمرور الوقت، لكنه يفرض أيضًا ضغوطًا على القائمين على صيانة البرامج والمشغّلين لمراجعة النتائج وإصدار الإصلاحات ونشر التحديثات بسرعة.
يكتسب هذا التحدي أهمية خاصة بالنسبة إلى البنية التحتية مفتوحة المصدر التي تستخدمها شركات قد لا تمتلك فرقًا أمنية متخصصة. وقد تقع مسؤولية تطبيق التصحيح على عاتق التجار الأفراد أو مشغّلي الخدمات.
التحقيق مستمر والخسائر لم تُؤكَّد بعد
لم تتضمن التحديثات المتاحة تقديرًا مؤكدًا لمقدار Bitcoin المسروق، أو عددًا موثّقًا للتجار المتضررين، أو رواية كاملة لأسلوب الهجوم.
كان المطورون يستعدون لتقديم توضيح أشمل، لكن التحديثات المقدمة لم تتضمن إعلانًا عن تصحيح نهائي خاص بالحادثة أو تأكيدًا بزوال الخطر.
إلى أن ينشر المحققون مزيدًا من التفاصيل، تظل الصلة بين عمليات السرقة المبلغ عنها وإصدارات البرمجيات الأقدم والثغرات التي كُشف عنها سابقًا أولية.
نُشر لأول مرة على CryptosNewss.com