BTCPay Server выпустил срочное предупреждение о безопасности после сообщений о том, что злоумышленники получили несанкционированный доступ администратора к старым установкам и вывели средства с подключённых горячих биткоин-кошельков. Что произошло — 2 ноября разработчики платёжного процессора с открытым исходным кодом сообщили операторам, что необходимо немедленно отключить экземпляры с помощью ./btcpay-down.sh, пока команда реагирования на инциденты расследует сообщения о «выводе» средств с горячих кошельков — переводах, при которых все доступные средства с адресов отправляются на адрес, контролируемый злоумышленником. — Сначала команда предупредила всех пользователей, а затем сузила предполагаемый вектор атаки до экземпляров, на которых работает версия 2.4.1 (выпущена 23 июля 2026 года) или более ранняя. Сооснователь проекта Николя Дорье сообщил, что, судя по всему, затронутые установки работали на версиях ниже 2.4.2. — BTCPay Server не раскрыл общую сумму похищенных средств и количество взломанных серверов. Однако команда сообщила, что нет достоверных сообщений о выводе средств из кошельков на текущей версии 2.4.7, а публичные серверы проекта (работающие на версии 2.4.7) не подверглись атаке. Что известно о вторжении — Имеющиеся сведения указывают на то, что злоумышленники смогли войти в затронутые экземпляры с правами администратора. Команда BTCPay всё ещё выясняет, как был получен доступ администратора, и публично не раскрыла технические подробности эксплуатации уязвимости. — Атака была направлена именно на горячие кошельки — кошельки, подключённые к интернету и способные инициировать транзакции. Это подвергало их риску немедленной кражи в случае компрометации учётных данных или контроля над кошельком. Что BTCPay Server просит сделать пользователей — Если вы управляете экземпляром: немедленно отключите его с помощью ./btcpay-down.sh и не включайте до завершения расследования. — Если вы используете старую версию: по возможности обновитесь до последнего релиза (2.4.7). — Если вы считаете, что ваш сервер был взломан: сохраните журналы и отправьте сведения об инциденте и системные журналы на security@btcpayserver.org. Контекст и связанные инциденты — Это произошло после августовского инцидента, когда BTCPay предупредил об уязвимости, активно использовавшейся злоумышленниками для извлечения учётных данных администратора LND macaroon и получения доступа к кошелькам Lightning. Эта уязвимость не затрагивала стандартные кошельки с транзакциями непосредственно в блокчейне. После августовского инцидента проект предложил вознаграждение за возвращённые средства в размере 10% от их суммы (не более 3 BTC) и выплатил по 0,21 BTC двум исследователям, сообщившим об уязвимости. — Предупреждение появилось на фоне других недавних атак на инфраструктуру Bitcoin: в сентябре Core Lightning предупредил о попытках эксплуатации старых, не обновлённых узлов Lightning. Влияние на работу — Некоторые хостинг-провайдеры, в том числе LunaNode и другие, которым BTCPay выразил благодарность, заблаговременно отключили старые экземпляры после получения предупреждения. Если ваш экземпляр размещался у провайдера, он уже может быть отключён до тех пор, пока провайдер не восстановит работу или вы не обновите и не запустите его заново. — BTCPay не опубликовал список затронутых хостов, количество отключённых серверов, сроки расследования или информацию о возможном возврате украденных средств. Рекомендации по безопасности для операторов — Поддерживайте BTCPay Server в актуальном состоянии; по возможности обновитесь до версии 2.4.7. — Не храните крупные суммы в горячих кошельках и переводите излишки средств в холодное хранилище (на офлайн-ключи). — Если вы подозреваете взлом, сохраните журналы для криминалистического анализа и отправьте их на security@btcpayserver.org. — Рассмотрите меры контроля со стороны провайдера и при эксплуатации, которые снижают риск несанкционированного доступа администратора (надёжный контроль доступа, мониторинг, минимальная открытость). Расследование BTCPay продолжается. Проект призывает операторов проявлять осторожность и действовать незамедлительно, пока выясняет, как именно злоумышленники получили доступ администратора к старым установкам. Мы обновим материал, когда BTCPay опубликует дополнительные технические сведения или информацию о возврате средств. Больше новостей, созданных ИИ: https://app.chaingpt.org/news