Atacantes obtiveram acesso de administrador a instâncias desatualizadas do BTCPay Server e esvaziaram as suas carteiras quentes. Os indícios apontam para falhas anteriores a uma atualização lançada em agosto.
Os prejuízos recaem sobre os operadores que nunca atualizaram o sistema, e a equipa ainda não revelou o total das perdas. O BTCPay Server é um processador de pagamentos gratuito e de código aberto que os comerciantes alojam por conta própria para aceitar Bitcoin. Numa configuração com carteira quente, o próprio servidor armazena as chaves privadas, o que permite ao software enviar fundos sem que o operador tenha de assinar cada transação. Por isso, qualquer pessoa com acesso de administrador a um servidor desse tipo pode movimentar as moedas nele armazenadas.
Quais versões foram alvo dos invasores?
A equipe do BTCPay Server deu o primeiro alerta no fim do dia 1º de novembro. Pediu a todos os operadores que desligassem suas instâncias até o fim da investigação.
Uma atualização posterior delimitou melhor o escopo. O vetor de ataque tem como alvo a versão 2.4.1, lançada em 23 de julho de 2026, e todas as versões anteriores. Enquanto isso, a equipe afirma não ter recebido relatos confiáveis de esvaziamento de carteiras na versão atual, 2.4.7.
📢 Nossa investigação sobre a resposta ao incidente identificou um vetor de ataque que tem como alvo instâncias executando a versão 2.4.1 (23 de julho de 2026) ou anteriores. Não temos relatos confiáveis de esvaziamento de carteiras quentes entre usuários que executam a versão mais recente, 2.4.7. Voltamos a pedir a todos que mantenham seus servidores BTCPay… pic.twitter.com/gYxK4Bb7fc
— BTCPay Server (@BtcpayServer) 2 de novembro de 2026
O fundador Nicolas Dorier afirmou que o invasor entrou como administrador nos servidores afetados, embora a equipe ainda não tenha descoberto como. Até agora, a investigação encontrou indícios de vulnerabilidades anteriores à versão 2.4.2.
Esta invasão marca pelo menos a segunda vez em três meses que invasores roubam fundos de instâncias do BTCPay Server que executam versões anteriores à 2.4.2. Essa versão corrigiu uma falha crítica em agosto, que permitia que invasores remotos obtivessem credenciais de nós Lightning e esvaziassem as carteiras conectadas.
Mesmo naquela época, a falha já estava sendo explorada ativamente.
Vale a pena correr o risco de usar uma carteira quente no BTCPay Server?
Os provedores de hospedagem também agiram rapidamente. A LunaNode e outros talvez tenham desligado automaticamente as instâncias dos clientes para bloquear ataques a versões antigas, segundo a equipe.
O próprio Dorier usa a versão 2.4.7 com uma carteira quente. Ainda assim, o fundador alertou contra manter grandes quantias em qualquer servidor.
Não coloque em uma carteira quente mais do que está disposto a perder. Não podemos garantir que isso não volte a acontecer.
Nicolas Dorier, X
O incidente se encaixa em um padrão mais amplo na infraestrutura Bitcoin auto-hospedada. Recentemente, o Core Lightning alertou que invasores têm como alvo nós sem as atualizações de segurança. Em ambos os casos, a correção já existia antes do roubo, então o ponto mais vulnerável era um operador que instalou uma instância do BTCPay Server uma vez e nunca a atualizou.