O processador de pagamentos auto-hospedado BTCPay Server emitiu um alerta bastante raro: após receber vários relatos de invasores não autorizados retirando fundos de carteiras quentes, a equipe recomendou diretamente que os operadores desligassem primeiro os servidores. Atenção: “desligar”, não “atualizar e ver no que dá”. Esse tipo de formulação em um projeto de código aberto equivale, basicamente, a soar o alarme no nível máximo.
O ponto-chave está em “versões antigas”. O risco não vem do design do próprio BTCPay, mas das instâncias que ainda executam software desatualizado. A maior vantagem do software de código aberto é que qualquer pessoa pode auditá-lo; a maior armadilha também está aí: o código foi atualizado, mas a versão na sua máquina não, e a vulnerabilidade continua de portas abertas.
Para comerciantes e quem hospeda o próprio servidor, a lição é simples: uma carteira quente serve para «movimentar» fundos, não para «guardá-los». Quando se juntam estas três condições — chaves privadas online, máquina conectada à internet e software desatualizado — é apenas uma questão de tempo até algo dar errado. Não trate o saldo do endereço de recebimento como uma conta poupança.
Mais um lembrete: se você ou algum comerciante que conhece está usando o BTCPay Server, o que deve fazer agora é verificar a versão e seguir as instruções oficiais; se necessário, interrompa o serviço temporariamente. Não conte com a sorte pensando «sou pequeno, ninguém vai me atacar»: os invasores procuram versões específicas, não sabem quanto você tem.
O conteúdo acima não constitui aconselhamento de investimento.