تمكّن مهاجمون من الوصول بصلاحيات إدارية إلى خوادم BTCPay Server قديمة، واستولوا على أموال محافظها الساخنة، وتشير الآثار إلى ثغرات تعود إلى ما قبل تحديث أغسطس.

وقعت الأضرار على المشغّلين الذين لم يحدّثوا خوادمهم، ولم يفصح الفريق بعد عن إجمالي الخسائر. BTCPay Server معالج مدفوعات مجاني ومفتوح المصدر، يستضيفه التجار بأنفسهم لقبول البيتكوين. في إعداد المحفظة الساخنة، يخزّن الخادم المفاتيح الخاصة بنفسه، ما يتيح للبرنامج إرسال الأموال من دون أن يوقّع المشغّل على كل معاملة. ونتيجة لذلك، يمكن لأي شخص لديه صلاحيات إدارية على مثل هذا الخادم نقل عملاته.

ما الإصدارات التي استهدفها المهاجمون؟

أطلق فريق BTCPay Server ناقوس الخطر للمرة الأولى في وقت متأخر من يوم 1 نوفمبر. وطلب من جميع المشغّلين إيقاف تشغيل نسخهم إلى حين انتهاء التحقيق.

ثم جاء تحديث ضيّق نطاق المشكلة. يستهدف مسار الهجوم الإصدار 2.4.1، الذي صدر في 23 يوليو 2026، وكل الإصدارات الأقدم. وفي الوقت نفسه، يقول الفريق إنه لم يتلقَّ بلاغات موثوقة عن سحب أموال من الإصدار الحالي 2.4.7.

📢 حدّد تحقيقنا في الاستجابة للحادث مسار هجوم يستهدف النسخ التي تعمل بالإصدار 2.4.1 (23 يوليو 2026) أو بإصدار أقدم. لم نتلقَّ بلاغات موثوقة عن سحب أموال من المحافظ الساخنة لدى المستخدمين الذين يشغّلون أحدث إصدار، 2.4.7. ونحث الجميع مجددًا على إبقاء BTCPay Server… pic.twitter.com/gYxK4Bb7fc

— BTCPay Server (@BtcpayServer) 2 نوفمبر 2026

قال المؤسس نيكولا دوريه إن المهاجم سجّل الدخول بصفة مسؤول إلى الخوادم المتضررة، مع أن الفريق لم يتوصل بعد إلى الكيفية. وحتى الآن، كشف التحقيق عن آثار لثغرات سبقت الإصدار 2.4.2.

يمثل الاختراق المرة الثانية على الأقل خلال ثلاثة أشهر التي يسرق فيها مهاجمون أموالًا من نسخ BTCPay Server التي تعمل بإصدارات أقدم من 2.4.2. وقد عالج ذلك الإصدار ثغرة خطيرة في أغسطس، أتاحت للمهاجمين عن بُعد الاستيلاء على بيانات اعتماد عقدة Lightning وسحب الأموال من المحافظ المتصلة بها.

وحتى آنذاك، كان الخلل يُستغل بالفعل بنشاط.

هل تستحق المحفظة الساخنة على BTCPay Server المخاطرة؟

تحرك مقدمو خدمات الاستضافة بسرعة أيضًا. وربما أوقفت LunaNode وغيرها نسخ العملاء تلقائيًا لمنع الهجمات على الإصدارات القديمة، بحسب الفريق.

يشغّل دوريه الإصدار 2.4.7 مع محفظة ساخنة خاصة به. ومع ذلك، حذّر المؤسس من الاحتفاظ بمبالغ كبيرة على أي خادم.

لا تضع في المحفظة الساخنة أكثر مما أنت مستعد لخسارته. لا يمكننا ضمان عدم حدوث ذلك مجددًا.

نيكولا دوريه، X

تندرج هذه الحادثة ضمن نمط أوسع في البنية التحتية لبيتكوين ذاتية الاستضافة. فقد حذّرت Core Lightning مؤخرًا من استهداف المهاجمين للعقد التي لم تُثبّت التحديثات الأمنية. وفي كلتا الحالتين، كان الإصلاح متاحًا قبل السرقة، لذا كانت أضعف حلقة هي مشغّل ثبّت نسخة من BTCPay Server مرة واحدة ولم يحدّثها أبدًا.