Злоумышленники получили доступ администратора к устаревшим экземплярам BTCPay Server и опустошили их горячие кошельки. Следы указывают на уязвимости, существовавшие ещё до августовского обновления.
Ущерб понесли операторы, которые так и не установили обновления, а команда пока не раскрыла общую сумму потерь. BTCPay Server — бесплатная платёжная система с открытым исходным кодом, которую продавцы размещают на собственных серверах для приёма биткоинов. При использовании горячего кошелька сервер сам хранит приватные ключи, благодаря чему программа может отправлять средства без подписи оператора для каждой транзакции. Поэтому любой, кто получит доступ администратора к такому серверу, сможет перевести его монеты.
На какие версии нацелились злоумышленники?
Команда BTCPay Server впервые забила тревогу поздно вечером 1 ноября. Она попросила всех операторов выключить свои экземпляры до завершения расследования.
Затем уточнение сузило круг затронутых версий. Вектор атаки нацелен на версию 2.4.1, выпущенную 23 июля 2026 года, и все более ранние версии. При этом команда сообщает, что не получала достоверных сообщений об опустошении кошельков на актуальной версии 2.4.7.
📢 В ходе расследования инцидента мы выявили вектор атаки, нацеленный на экземпляры с версией 2.4.1 (23 июля 2026 года) или более ранними версиями. Мы не получали достоверных сообщений об опустошении горячих кошельков у пользователей последней версии 2.4.7. Мы вновь настоятельно призываем всех следить за тем, чтобы их BTCPay Server… pic.twitter.com/gYxK4Bb7fc
— BTCPay Server (@BtcpayServer) 2 ноября 2026 года
Основатель компании Николя Дорье заявил, что злоумышленник вошёл в затронутые серверы с правами администратора, хотя команда пока не выяснила, как ему это удалось. На данный момент расследование выявило следы уязвимостей, существовавших до версии 2.4.2.
Это как минимум второй случай за три месяца, когда злоумышленники похищают средства с экземпляров BTCPay Server под управлением версий ниже 2.4.2. В августе в этом релизе исправили критическую уязвимость, которая позволяла удалённым злоумышленникам получить учётные данные узла Lightning и опустошить подключённые кошельки.
И тогда эта уязвимость уже активно использовалась злоумышленниками.
Стоит ли рисковать, используя горячий кошелёк в BTCPay Server?
Провайдеры хостинга тоже отреагировали быстро. По словам команды, LunaNode и другие могли автоматически отключить клиентские экземпляры, чтобы заблокировать атаки на старые версии.
Сам Дорье использует версию 2.4.7 с горячим кошельком. Тем не менее основатель предостерёг от хранения крупных сумм на любом сервере.
Не храните в горячем кошельке больше, чем готовы потерять. Мы не можем гарантировать, что это не повторится.
Николя Дорье, X
Этот инцидент вписывается в более широкую тенденцию, затрагивающую самостоятельно размещаемую инфраструктуру Bitcoin. Недавно Core Lightning предупредила, что злоумышленники атакуют узлы без установленных обновлений безопасности. В обоих случаях исправление уже существовало до кражи, поэтому самым слабым звеном оказался оператор, который однажды установил экземпляр BTCPay Server и больше его не обновлял.