O BTCPay Server emitiu um alerta de segurança urgente após relatos de que invasores obtiveram acesso administrativo não autorizado a instalações antigas e retiraram fundos de carteiras Bitcoin quentes conectadas. O que aconteceu - Em 2 de novembro, o processador de pagamentos de código aberto informou aos operadores que desligassem imediatamente as instâncias usando ./btcpay-down.sh enquanto sua equipe de resposta a incidentes investigava relatos de “varreduras” de carteiras quentes — transferências que retiram todos os fundos disponíveis de endereços e os enviam para um destino controlado por um invasor. - A equipe inicialmente alertou todos os usuários e, em seguida, restringiu o vetor de ataque suspeito às instâncias que executavam a versão 2.4.1 (lançada em 23 de julho de 2026) ou anterior. O cofundador Nicolas Dorier afirmou que as instalações afetadas pareciam estar executando versões anteriores à 2.4.2. - O BTCPay Server não divulgou os valores totais nem quantos servidores foram comprometidos. No entanto, afirmou que não há relatos confiáveis de esvaziamento de carteiras envolvendo a versão atual 2.4.7 e que os servidores públicos do projeto (executando a versão 2.4.7) não foram atacados. O que se sabe sobre a invasão - As informações disponíveis indicam que os invasores conseguiram fazer login com privilégios de administrador nas instâncias afetadas. A equipe do BTCPay ainda está investigando como o acesso administrativo foi obtido e não detalhou publicamente a exploração técnica. - A invasão teve como alvo específico carteiras quentes — carteiras que estão online e podem iniciar transações — deixando-as vulneráveis a roubo imediato caso as credenciais ou o controle sejam comprometidos. Medidas que o BTCPay Server está pedindo aos usuários que tomem - Se você opera uma instância: desligue-a imediatamente usando ./btcpay-down.sh até que a investigação seja concluída. - Se você usa uma versão antiga: atualize para a versão mais recente (2.4.7), se possível. - Se você acredita que seu servidor foi comprometido: preserve os registros e envie os detalhes do incidente e os logs do sistema para security@btcpayserver.org. Contexto e incidentes relacionados - Isso ocorre após um incidente em agosto, no qual o BTCPay alertou sobre uma vulnerabilidade explorada ativamente que permitia aos invasores extrair credenciais macaroon de administrador do LND e acessar carteiras Lightning. Essa falha não afetava as carteiras on-chain padrão. Após o problema de agosto, o projeto ofereceu uma recompensa pela recuperação equivalente a 10% dos fundos recuperados (limitada a 3 BTC) e concedeu 0,21 BTC a cada um de dois pesquisadores que divulgaram a vulnerabilidade. - O alerta também surge em meio a outros ataques recentes à infraestrutura Bitcoin: em setembro, o Core Lightning alertou sobre tentativas de explorar nós Lightning antigos e sem correções. Impacto operacional - Alguns provedores de hospedagem — incluindo a LunaNode e outros aos quais o BTCPay agradeceu — desligaram proativamente instâncias antigas após o alerta. Se sua instância estava hospedada, ela pode já estar offline até que o provedor restaure o serviço ou você atualize e reinicie a instância. - O BTCPay não publicou uma lista de hosts afetados, uma contagem de servidores offline nem um cronograma para a investigação ou para qualquer recuperação dos fundos roubados. Recomendações de segurança para operadores - Mantenha o BTCPay Server atualizado; atualize para a versão 2.4.7, se possível. - Minimize os saldos em carteiras quentes e transfira os fundos excedentes para armazenamento a frio (chaves offline). - Preserve os logs forenses caso suspeite de comprometimento e envie-os para security@btcpayserver.org. - Considere controles operacionais e do provedor que reduzam o risco de acesso administrativo não autorizado (controles de acesso robustos, monitoramento e exposição mínima). A investigação do BTCPay continua. O projeto está pedindo cautela e ação rápida dos operadores enquanto trabalha para determinar exatamente como os invasores obtiveram acesso administrativo a instalações antigas. Atualizaremos as informações quando o BTCPay divulgar mais detalhes técnicos ou informações sobre a recuperação. Leia mais notícias geradas por IA em: https://app.chaingpt.org/news