O BTCPay Server pediu aos operadores que desligassem suas instâncias no domingo, após descobrir que pessoas não autorizadas estavam acessando e esvaziando carteiras quentes. Em um anúncio no X, o projeto solicitou que todos os administradores de instâncias tirassem suas plataformas do ar usando o comando shutdown enquanto a investigação não fosse concluída.
O projeto, no entanto, ainda não revelou a causa raiz, o número de servidores afetados nem o valor total roubado.
O BTCPay Server sofreu outros dois incidentes recentemente
O BTCPay Server partilhou no X: “Estamos a receber relatos de carteiras quentes em servidores BTCPay a serem esvaziadas por atacantes não autorizados. Se estiver a executar uma instância, encerre-a (./btcpay-down.sh) até concluirmos a investigação.”
Uma vez que o BTCPay é autoalojado, cabe inteiramente aos proprietários de cada servidor desligá-lo. De acordo com a documentação, a funcionalidade de carteira quente armazena a seed diretamente no servidor para assinar transações e permite pagamentos rápidos sem depender de hardware externo. Infelizmente, esta conveniência tornou as carteiras quentes muito mais vulneráveis do que o armazenamento offline.
As carteiras quentes são particularmente vulneráveis porque as suas chaves privadas são armazenadas em sistemas ligados à internet, podendo ser acedidas por atacantes que comprometam a infraestrutura subjacente. Ao contrário das carteiras frias, que armazenam as chaves de assinatura offline, as carteiras quentes privilegiam a conveniência e permitem que os comerciantes processem transações mais rapidamente.
Para as empresas que utilizam o BTCPay Server para aceitar pagamentos em Bitcoin, uma carteira quente comprometida pode expor fundos destinados a pagamentos a comerciantes ou a transações de clientes. O alerta mais recente levanta, por isso, questões sobre como os operadores podem equilibrar a conveniência dos pagamentos com a necessidade de proteger as chaves privadas contra acessos não autorizados.
Ao comentar o incidente, Samson Mow, CEO da JAN3, uma empresa de tecnologia BTC, aconselhou: “Acho que deve ser uma prioridade pôr o SamRock a trabalhar com a Indra o mais depressa possível, para que os utilizadores do BTCPay possam receber diretamente em Bitcoin Aqua e fazer regularmente a troca para armazenamento frio.”
Este alerta surge logo após outros dois incidentes de segurança que afetaram o projeto. Há poucos dias, a 29 de outubro, o BTCPay lançou uma atualização de emergência (v.2.4.7) para corrigir esta vulnerabilidade e outras.
Em agosto, os atacantes também exploraram outra falha de segurança, levando ao roubo de chaves da Lightning Network e ao esvaziamento de vários nós associados, incluindo um pertencente à Foundation, fabricante de carteiras de hardware. No entanto, o BTCPay tinha garantido aos utilizadores que as suas carteiras padrão on-chain e as carteiras quentes integradas estavam protegidas contra este ataque.
Ainda assim, tinha pedido aos utilizadores que atualizassem os seus servidores para a versão 2.4 ou, pelo menos temporariamente, desativassem as suas instâncias do BTCPay Server até o poderem fazer, reduzindo assim o risco de acesso não autorizado.
Até a investigação estar concluída, os operadores poderão ter de verificar a atividade dos seus servidores, os saldos das carteiras e o histórico de transações para detetar movimentos suspeitos. Quem suspeitar que as suas carteiras quentes foram comprometidas não deverá continuar a utilizar chaves de assinatura potencialmente expostas.
O incidente também demonstra por que razão as cópias de segurança devem ser mantidas em segurança e os grandes saldos em Bitcoin devem ser guardados offline, em vez de em carteiras ligadas à infraestrutura de pagamentos.
A Coldcard foi atacada em agosto
Em agosto, a Coldcard, uma popular fabricante de carteiras exclusivamente para Bitcoin, também foi vítima de uma exploração que já resultou em perdas confirmadas de pelo menos 116 milhões de dólares. Segundo Ido Ben-Natan, CEO da Blockaid, o incidente da Coldcard expôs uma fragilidade fundamental das criptomoedas: a dependência de chaves privadas que podem tornar-se num único ponto de falha.
Natan disse: “Este tipo de acesso a estas coisas é de utilização única. A beleza disto é que mais ninguém pode entrar e aceder a estas coisas. A desvantagem é que constitui um único ponto de falha.”
Acrescentou: “A lição aqui é que deixar os seus ativos guardados algures, esquecendo-se deles e não pensando neles, não é propriamente a solução, porque a segurança está a evoluir rapidamente. Ou tem de estar constantemente em estado de alerta, ou então delegar esse processo de tomada de decisões noutra pessoa.”
A origem da exploração foi um erro grave no firmware que permitia corromper o processo de geração da seed da carteira nos dispositivos Coldcard. Isto eliminava o fator de aleatoriedade necessário para criar carteiras seguras, permitindo aos atacantes calcular as chaves privadas e esvaziar essas carteiras de Bitcoin. Mais de 7.000 endereços foram afetados, de acordo com a empresa de investigação K33.
Em média, quase três quartos do dinheiro roubado em ataques a criptomoedas no primeiro semestre de 2026 estão relacionados com violações de chaves privadas.
Não se limite a ler notícias sobre criptomoedas. Compreenda-as. Subscreva a nossa newsletter. É grátis.