BTCPay Server lançou a versão 2.4.2 em regime de emergência para conter uma vulnerabilidade crítica que já estava sendo explorada ativamente e permitia o roubo de fundos em nós da rede Lightning, qualquer instalação anterior ao patch continuava exposta enquanto o ataque ocorria.
A vulnerabilidade residia na autenticação básica da API Greenfield. Contas protegidas por TOTP, o segundo fator baseado em senha descartável, podiam ter esse mecanismo contornado por um atacante remoto não autenticado.
Com isso, o invasor conseguia acessar os arquivos .macaroon dos nós Lightning , as credenciais que autorizam operações no nó, e utilizá-los para mover fundos sem qualquer interação da vítima.
Carteiras on-chain padrão não foram afetadas pela brecha . O vetor de ataque era restrito ao fluxo de autenticação da API combinado com a presença de um nó Lightning vinculado à instância do BTCPay Server.