O BTCPay Server alertou os comerciantes e os operadores de sistemas de pagamento auto-hospedados para desligarem os seus servidores após relatos de que atacantes estavam a desviar bitcoins de hot wallets ligadas.
O aviso de emergência, publicado pela conta oficial do projeto por volta das 22:25 UTC de 1 de novembro de 2026, instruiu os operadores a desligarem as suas instâncias do BTCPay Server enquanto os programadores investigavam os relatos de comprometimento.
O incidente levanta preocupações para os comerciantes que utilizam uma infraestrutura de pagamentos Bitcoin auto-hospedada para evitar intermediários de pagamento convencionais. Também evidencia um desafio de segurança para o software de código aberto: uma correção de vulnerabilidade só protege as instalações que efetivamente recebem e aplicam a atualização.
No momento dos relatos iniciais, os desenvolvedores não haviam confirmado quanto Bitcoin foi roubado, quantos comerciantes foram afetados nem como os invasores obtiveram acesso inicialmente.
Desenvolvedores orientam operadores a tirar os servidores BTCPay do ar
A mensagem de emergência do projeto informou que carteiras quentes conectadas a instalações do BTCPay Server estavam sendo esvaziadas por invasores não autorizados.
Os operadores foram instruídos a interromper suas instâncias usando o comando ./btcpay-down.sh até que os investigadores pudessem determinar o alcance e a causa do incidente.
O principal colaborador Uncle Rockstar Developer reforçou o alerta, descrevendo a situação como urgente e orientando os operadores com carteiras quentes a desligar seus servidores.
O BTCPay Server é um software de pagamentos de código aberto que permite aos comerciantes aceitar Bitcoin diretamente, sem depender de um processador de pagamentos convencional. As empresas podem hospedar o software por conta própria e manter o controle sobre sua infraestrutura de pagamentos e suas carteiras.
Esse modelo oferece maior independência operacional, mas também atribui ao operador a responsabilidade pela manutenção do servidor, pelas atualizações de software e pela segurança das carteiras.
Nicolas Dorier aponta versões antigas do software
Mais tarde, o fundador do BTCPay Server, Nicolas Dorier, compartilhou descobertas preliminares que direcionaram a investigação para instalações mais antigas.
Segundo Dorier, as instalações afetadas executavam versões anteriores à 2.4.2. Segundo relatos, os invasores obtiveram acesso de administrador, e os vestígios forenses apontam para vulnerabilidades presentes nessas versões anteriores.
Dorier também indicou que servidores públicos e de demonstração que executavam a versão 2.4.7 não haviam sido atacados.
Essa distinção é importante porque não aponta para a versão mais recente como a provável origem dos comprometimentos relatados. No entanto, essa observação não deve ser interpretada como prova de que todas as instalações que executam a versão 2.4.7 estão imunes a ataques.
Os investigadores ainda não haviam publicado uma explicação técnica completa, portanto o ponto de entrada exato e a relação entre os roubos relatados e as falhas divulgadas anteriormente continuavam sem solução.
Vulnerabilidade anterior da Lightning Network acrescenta contexto
A investigação também volta a chamar a atenção para um problema de segurança distinto do BTCPay Server, divulgado em agosto.
Essa vulnerabilidade permitia que invasores não autenticados obtivessem credenciais macaroon do Lightning Network Daemon (LND). Essas credenciais funcionam como tokens de autorização que concedem acesso a operações específicas da Lightning Network.
Os desenvolvedores corrigiram o problema na versão 2.4.2. Na época, afirmaram que as carteiras on-chain do próprio BTCPay Server não estavam expostas por meio daquela vulnerabilidade específica.
Não foi determinado se os relatos de roubo de carteiras em novembro envolvem a mesma falha, outra vulnerabilidade que afeta versões antigas ou uma combinação de problemas de segurança.
Essa distinção é importante. Uma falha corrigida anteriormente pode ajudar a explicar a exposição em instalações desatualizadas, mas não pode ser considerada a causa confirmada sem um relatório forense publicado.
A versão 2.4.7 corrigiu 85 problemas de segurança dias antes do incidente
O momento do alerta de emergência atraiu ainda mais atenção porque o BTCPay Server havia lançado uma importante atualização de segurança apenas três dias antes.
Em 29 de outubro de 2026, o projeto lançou a versão 2.4.7 após relatos de vulnerabilidades gerados pela iniciativa de análise de segurança de código aberto da Anthropic.
A atualização corrigiu 85 problemas relatados, distribuídos da seguinte forma:
1 de gravidade crítica
13 de gravidade alta
52 de gravidade média
19 de gravidade baixa
As descobertas surgiram em meio a uma expansão mais ampla da pesquisa de vulnerabilidades assistida por IA. Em 2026, sistemas desenvolvidos pela Anthropic, OpenAI e Google demonstraram capacidades cada vez mais avançadas para identificar possíveis falhas em softwares.
A iniciativa de análise da Anthropic relatou mais de 29.000 vulnerabilidades potenciais ao longo de seis meses, embora apenas uma parte delas tenha passado por revisão manual.
O incidente do BTCPay Server ilustra a diferença entre encontrar vulnerabilidades e proteger softwares que já estão em produção. Um projeto pode publicar correções, mas os servidores operados de forma independente não são atualizados automaticamente.
Uma instalação que permanece em uma versão mais antiga pode continuar expondo os usuários a falhas que os desenvolvedores já corrigiram.
Comerciantes tiram a infraestrutura de pagamentos do ar
O alerta levou empresas, incluindo a Coincards, a tirar do ar suas instalações do BTCPay Server.
Para os comerciantes, essa decisão cria uma escolha operacional imediata. Manter um servidor de pagamentos disponível permite realizar transações normalmente, mas deixar uma carteira quente potencialmente comprometida conectada pode expor fundos a novas transferências não autorizadas.
Dorier também reiterou a importância de manter os saldos das carteiras quentes limitados a valores que os operadores possam se dar ao luxo de perder.
As carteiras quentes estão conectadas a sistemas online e geralmente são usadas para transações rotineiras. Sua acessibilidade as torna úteis para o processamento de pagamentos, mas também significa que exigem controles de segurança rigorosos e limites para os fundos mantidos nelas.
O incidente relatado voltou a chamar a atenção para a exposição das carteiras, as permissões de acesso aos servidores, as práticas de atualização e a separação dos fundos operacionais das reservas maiores.
O desafio mais amplo de segurança dos pagamentos de criptomoedas auto-hospedados
O modelo do BTCPay Server dá aos comerciantes controle direto sobre os pagamentos em Bitcoin, mas a auto-hospedagem não elimina a necessidade de uma gestão contínua da segurança.
Os operadores precisam monitorar as versões de software, aplicar correções, proteger as credenciais de administrador e avaliar os riscos associados às carteiras conectadas. Atualizações atrasadas podem deixar os sistemas expostos mesmo depois que os desenvolvedores disponibilizam uma correção.
A pesquisa de segurança assistida por IA pode aumentar a velocidade com que as vulnerabilidades são descobertas e relatadas. Isso pode melhorar a segurança dos softwares ao longo do tempo, mas também pressiona mantenedores e operadores a analisar as descobertas, lançar correções e implementar atualizações rapidamente.
O desafio é particularmente relevante para infraestruturas de código aberto usadas por empresas que talvez não tenham equipes de segurança dedicadas. A responsabilidade por aplicar uma correção pode recair sobre comerciantes individuais ou operadores de serviços.
Investigação continua enquanto prejuízos não são confirmados
As atualizações disponíveis não incluíam uma estimativa confirmada da quantidade de Bitcoin roubada, uma contagem verificada dos comerciantes afetados nem um relato completo do método do ataque.
Os desenvolvedores estavam preparando uma explicação mais completa, mas as atualizações fornecidas não anunciavam nenhuma correção definitiva específica para o incidente nem um sinal verde para retomar as operações.
Até que os investigadores publiquem mais detalhes, a relação entre os roubos relatados, as versões antigas do software e as vulnerabilidades divulgadas anteriormente continua sendo preliminar.
Publicado originalmente em CryptosNewss.com