BTCPay Server предупредил продавцов и операторов платёжных систем на собственных серверах о необходимости отключить серверы после сообщений о том, что злоумышленники опустошали подключённые горячие кошельки с биткоинами.
В экстренном уведомлении, опубликованном в официальном аккаунте проекта примерно в 22:25 UTC 1 ноября 2026 года, операторам предписали отключить экземпляры BTCPay Server, пока разработчики расследуют сообщения о взломах.
Инцидент вызывает обеспокоенность у продавцов, использующих собственную инфраструктуру для приёма платежей в биткоинах, чтобы не зависеть от традиционных платёжных посредников. Он также подчёркивает проблему безопасности программного обеспечения с открытым исходным кодом: исправление уязвимости защищает только те установки, на которых обновление действительно получено и применено.
На момент появления первых сообщений разработчики не подтвердили, сколько биткоинов было украдено, сколько продавцов пострадало и каким образом злоумышленники изначально получили доступ.
Разработчики призывают операторов отключить серверы BTCPay
В экстренном сообщении проекта говорилось, что злоумышленники без разрешения опустошают горячие кошельки, подключённые к установкам BTCPay Server.
Операторам было велено остановить свои экземпляры с помощью команды ./btcpay-down.sh, пока следователи не установят масштаб и причину инцидента.
Основной участник проекта Uncle Rockstar Developer усилил это предупреждение, назвав ситуацию неотложной и призвав операторов с горячими кошельками выключить серверы.
BTCPay Server — это платёжное программное обеспечение с открытым исходным кодом, позволяющее продавцам принимать биткоины напрямую, без услуг традиционного платёжного процессора. Компании могут самостоятельно размещать это ПО и сохранять контроль над своей платёжной инфраструктурой и кошельками.
Такая модель обеспечивает большую операционную независимость, но также возлагает на оператора ответственность за обслуживание серверов, обновление программного обеспечения и безопасность кошельков.
Николя Дорье указывает на старые версии программного обеспечения
Позднее основатель BTCPay Server Николя Дорье поделился предварительными результатами, которые позволили сузить круг поиска до старых установок.
По словам Дорье, затронутые установки работали на версиях, выпущенных до 2.4.2. Сообщается, что злоумышленники получили права администратора; следы, обнаруженные в ходе криминалистического анализа, указывают на уязвимости в этих более ранних версиях.
Дорье также сообщил, что общедоступные и демонстрационные серверы на версии 2.4.7 атакованы не были.
Это различие важно: оно не указывает на последнюю версию как на вероятный источник сообщавшихся случаев компрометации. Однако не следует считать это доказательством того, что все установки версии 2.4.7 защищены от атак.
Следователи ещё не опубликовали полного технического объяснения, поэтому точка проникновения и связь между сообщавшимися кражами и ранее раскрытыми уязвимостями пока не установлены.
Контекст дополняет более ранняя уязвимость Lightning Network
Расследование также привлекло внимание к отдельной проблеме безопасности BTCPay Server, о которой сообщили в августе.
Эта уязвимость позволяла не прошедшим аутентификацию злоумышленникам получать учётные данные macaroon для Lightning Network Daemon (LND). Эти данные служат токенами авторизации, предоставляющими доступ к определённым операциям Lightning Network.
Разработчики устранили эту проблему в версии 2.4.2. Тогда они заявили, что собственные ончейн-кошельки BTCPay Server не подвергались риску из-за этой конкретной уязвимости.
Не установлено, связаны ли сообщения о краже средств из кошельков в ноябре с той же уязвимостью, с другой уязвимостью, затрагивающей старые версии, или с сочетанием нескольких проблем безопасности.
Это различие имеет значение. Ранее исправленная уязвимость может помочь объяснить риски для устаревших установок, но без опубликованного отчёта криминалистического анализа её нельзя считать подтверждённой причиной.
За несколько дней до инцидента в версии 2.4.7 устранили 85 проблем безопасности
Экстренное предупреждение привлекло дополнительное внимание, поскольку всего за три дня до этого BTCPay Server выпустил крупное обновление безопасности.
29 октября 2026 года проект выпустил версию 2.4.7 после сообщений об уязвимостях, полученных в рамках инициативы Anthropic по сканированию безопасности ПО с открытым исходным кодом.
Обновление устранило 85 обнаруженных проблем, распределённых следующим образом:
1 критическая
13 критических
52 средней степени серьёзности
19 низкой степени серьёзности
Эти результаты появились на фоне более широкого развития исследований уязвимостей с помощью ИИ. В 2026 году системы, разработанные Anthropic, OpenAI и Google, продемонстрировали всё более широкие возможности по выявлению потенциальных слабых мест в программном обеспечении.
В рамках инициативы Anthropic по сканированию за шесть месяцев было обнаружено более 29 000 потенциальных уязвимостей, однако вручную проверили лишь часть из них.
Инцидент с BTCPay Server показывает разницу между обнаружением уязвимостей и защитой программного обеспечения, уже работающего в производственной среде. Проект может опубликовать исправления, но серверы под управлением независимых операторов не обновляются автоматически.
Установка, оставшаяся на старой версии, может и дальше подвергать пользователей риску из-за уязвимостей, которые разработчики уже устранили.
Продавцы отключают платёжную инфраструктуру
Это предупреждение побудило компании, в том числе Coincards, отключить установки BTCPay Server.
Для продавцов такое решение означает немедленный операционный компромисс. Работающий платёжный сервер позволяет проводить обычные транзакции, но подключённый горячий кошелёк, возможно скомпрометированный, может подвергнуть средства риску дальнейших несанкционированных переводов.
Дорье также вновь подчеркнул, как важно хранить в горячих кошельках лишь те суммы, потерю которых операторы могут себе позволить.
Горячие кошельки подключены к онлайн-системам и обычно используются для повседневных транзакций. Благодаря доступности они удобны для обработки платежей, но требуют тщательных мер безопасности и ограничения хранящихся в них средств.
Сообщения об инциденте вновь привлекли внимание к рискам, связанным с кошельками, правам доступа к серверам, практике установки обновлений и отделению операционных средств от крупных резервов.
Более широкая проблема безопасности самостоятельных криптовалютных платежей
Модель BTCPay Server даёт продавцам прямой контроль над платежами в биткоинах, однако самостоятельный хостинг не отменяет необходимости постоянно заниматься безопасностью.
Операторам необходимо следить за выпусками программного обеспечения, устанавливать исправления, защищать учётные данные администраторов и оценивать риски, связанные с подключёнными кошельками. Задержка с обновлениями может оставить системы уязвимыми даже после того, как разработчики выпустили исправление.
Исследования безопасности с помощью ИИ могут ускорить обнаружение уязвимостей и сообщения о них. Со временем это может повысить безопасность программного обеспечения, но одновременно заставляет сопровождающих проекты и операторов быстрее проверять результаты, выпускать исправления и устанавливать обновления.
Эта проблема особенно актуальна для инфраструктуры с открытым исходным кодом, которую используют компании, у которых может не быть специализированных команд по безопасности. Ответственность за установку исправлений может лежать на отдельных продавцах или операторах сервисов.
Расследование продолжается, размер потерь не подтверждён
В доступных обновлениях не приводились подтверждённая оценка количества украденных биткоинов, проверенное число пострадавших продавцов или полное описание метода атаки.
Разработчики готовили более подробное объяснение, однако в предоставленных обновлениях не сообщалось о выпуске окончательного исправления для данного инцидента или о том, что опасность миновала.
Пока следователи не опубликуют дополнительные сведения, связь между сообщениями о кражах, старыми версиями программного обеспечения и ранее раскрытыми уязвимостями остаётся предварительной.
Впервые опубликовано на CryptosNewss.com