Sobre essa história da BTCPay, já tem gente gritando “mais uma vulnerabilidade, BTC vai cair para 50 mil”. Cara, primeiro entenda o que foi drenado.
O comunicado oficial diz apenas isto: carteiras quentes em várias instâncias autohospedadas da BTCPay foram esvaziadas sem autorização. Todos os operadores devem executar imediatamente ./btcpay-down.sh para desligar tudo e aguardar os resultados da investigação. Não informaram o valor das perdas, a causa raiz, as versões afetadas nem disponibilizaram uma correção.
O ponto principal são as palavras “carteira quente”. Uma carteira quente da BTCPay equivale a deixar a seed num servidor ligado 24 horas por dia para que ele possa assinar transações. Quem conseguir acesso administrativo a essa máquina pode movimentar o dinheiro. Lojas que usam apenas xpub em modo watch-only não têm chaves privadas capazes de gastar fundos no servidor. Também disseram que carteiras externas, como a BTCPay Lite, não foram afetadas.
Então, não foi o Bitcoin que teve um problema; um monte de pequenos comerciantes guardava o dinheiro do caixa como se fosse um cofre. “Autocustódia” não significa segurança: deixar a chave privada numa máquina exposta à internet não é muito diferente de esquecer a carteira numa lan house.
Quem usa um problema numa ferramenta de pagamentos para gritar que o BTC vai cair pela metade ou não entende do assunto ou quer te enganar para você vender no prejuízo. Para quem recebe pagamentos pela BTCPay: desligue tudo primeiro e transfira o dinheiro para uma carteira fria. Daqui para a frente, receba com uma carteira watch-only e deixe na carteira quente apenas o suficiente para dar troco.
#BTCPay #Segurança
O comunicado oficial diz apenas isto: carteiras quentes em várias instâncias autohospedadas da BTCPay foram esvaziadas sem autorização. Todos os operadores devem executar imediatamente ./btcpay-down.sh para desligar tudo e aguardar os resultados da investigação. Não informaram o valor das perdas, a causa raiz, as versões afetadas nem disponibilizaram uma correção.
O ponto principal são as palavras “carteira quente”. Uma carteira quente da BTCPay equivale a deixar a seed num servidor ligado 24 horas por dia para que ele possa assinar transações. Quem conseguir acesso administrativo a essa máquina pode movimentar o dinheiro. Lojas que usam apenas xpub em modo watch-only não têm chaves privadas capazes de gastar fundos no servidor. Também disseram que carteiras externas, como a BTCPay Lite, não foram afetadas.
Então, não foi o Bitcoin que teve um problema; um monte de pequenos comerciantes guardava o dinheiro do caixa como se fosse um cofre. “Autocustódia” não significa segurança: deixar a chave privada numa máquina exposta à internet não é muito diferente de esquecer a carteira numa lan house.
Quem usa um problema numa ferramenta de pagamentos para gritar que o BTC vai cair pela metade ou não entende do assunto ou quer te enganar para você vender no prejuízo. Para quem recebe pagamentos pela BTCPay: desligue tudo primeiro e transfira o dinheiro para uma carteira fria. Daqui para a frente, receba com uma carteira watch-only e deixe na carteira quente apenas o suficiente para dar troco.
#BTCPay #Segurança