O BTCPay Server, processador de pagamentos em Bitcoin de código aberto e auto-hospedado, confirmou que invasores roubaram criptomoedas de carteiras quentes que executavam versões desatualizadas do seu software. A empresa de análise de blockchain Bitquery rastreou cerca de US$ 1,62 milhão em fundos roubados — 18,38 BTC e 3.405 LTC — em 682 transferências distintas, a maioria delas em 1º de novembro de 2026.
De acordo com o relatório oficial do incidente do BTCPay Server, os ataques tiveram como alvo servidores que executavam a versão 2.4.1 ou anterior. Os invasores exploraram uma vulnerabilidade que já havia sido corrigida na versão 2.4.2, lançada em 7 de agosto de 2026, usando um método diferente do documentado no comunicado de agosto. Os relatos dos roubos começaram a surgir por volta de 1º de novembro, e o BTCPay Server alertou os operadores no X, no mesmo dia, para desligarem os servidores enquanto investigava o caso.
A Bitquery apurou que 87% dos fundos roubados foram transferidos numa única vaga a 1 de novembro, entre as 14:12 e as 22:16 UTC. Cerca de 77% vieram de 32 transferências de 10 000 dólares ou mais, enquanto aproximadamente metade de todas as transferências foi inferior a 100 dólares. A transferência mais antiga que a Bitquery conseguiu rastrear ocorreu no início de 30 de outubro, menos de um dia após o lançamento da versão 2.4.7 do BTCPay Server. As transferências de Litecoin começaram a 1 de novembro, e a vaga de Bitcoin começou menos de uma hora depois.
O BTCPay Server afirmou que não recebeu relatos credíveis de fundos drenados de carteiras quentes por parte de utilizadores que executam a versão mais recente, a 2.4.7. Recomendou que todos os que ainda utilizam a versão 2.4.1 ou anterior migrem para um servidor novo com uma carteira nova — mesmo que não tenham detetado qualquer roubo — porque uma simples atualização não consegue remover o acesso que um atacante talvez já tenha obtido. Os fundos em carteiras cujas chaves de assinatura são mantidas fora do servidor, incluindo carteiras de hardware, não foram afetados.
O projeto publicou dois endereços de destino associados ao incidente e aconselhou os utilizadores afetados a denunciar os roubos à sua equipa de segurança e às autoridades locais. Também recomendou manter numa carteira quente apenas os fundos necessários para as operações diárias e transferir o restante para uma carteira cujas chaves sejam mantidas offline.
Isto não é aconselhamento financeiro. Faça a sua própria pesquisa antes de tomar qualquer decisão de investimento.