BTCPay Server призвал операторов отключить свои экземпляры в воскресенье после того, как стало известно, что неавторизованные лица получали доступ к горячим кошелькам и опустошали их. В объявлении на X проект попросил администраторов всех экземпляров временно отключить свои платформы с помощью команды shutdown до завершения расследования.
Однако проект пока не раскрыл первопричину произошедшего, число пострадавших серверов или общую сумму похищенных средств.
В последнее время BTCPay Server столкнулся ещё с двумя инцидентами
BTCPay Server опубликовал в X: «Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay опустошают злоумышленники без разрешения. Если вы используете такой сервер, пожалуйста, отключите его (./btcpay-down.sh) до завершения расследования».
Поскольку BTCPay работает на собственных серверах пользователей, отключить его должны сами владельцы отдельных серверов. Согласно документации, функция горячего кошелька хранит seed-фразу непосредственно на сервере для подписания транзакций и позволяет быстро отправлять выплаты без использования внешнего оборудования. К сожалению, это удобство сделало горячие кошельки гораздо более уязвимыми, чем холодное хранение.
Горячие кошельки особенно уязвимы, поскольку их закрытые ключи хранятся в системах, подключённых к интернету, и злоумышленники могут получить к ним доступ, взломав базовую инфраструктуру. В отличие от холодных кошельков, где ключи для подписания хранятся офлайн, горячие кошельки обеспечивают удобство и позволяют продавцам быстрее обрабатывать транзакции.
Для компаний, принимающих платежи в биткоинах через BTCPay Server, взлом горячего кошелька может поставить под угрозу средства, предназначенные для расчётов с продавцами или клиентских транзакций. Поэтому последнее предупреждение ставит вопрос о том, как операторам найти баланс между удобством платежей и необходимостью защитить закрытые ключи от несанкционированного доступа.
Комментируя инцидент, генеральный директор технологической компании JAN3, работающей с BTC, Самсон Моу посоветовал: «Думаю, приоритетом должно стать как можно скорее наладить взаимодействие SamRock с Indra, чтобы пользователи BTCPay могли получать средства напрямую на Aqua Bitcoin и регулярно переводить их в холодное хранилище».
Это предупреждение появилось сразу после двух других инцидентов безопасности, затронувших проект. Всего за несколько дней до этого, 29 октября, BTCPay выпустил экстренное обновление (v.2.4.7), чтобы устранить эту и другие уязвимости.
В августе злоумышленники также воспользовались другой уязвимостью, похитив ключи Lightning Network и опустошив несколько связанных узлов, в том числе один из узлов Foundation — производителя аппаратных кошельков. Однако BTCPay заверил пользователей, что эта атака не угрожает их стандартным кошелькам для хранения средств в блокчейне и встроенным горячим кошелькам.
Тем не менее пользователям рекомендовали обновить серверы до версии 2.4 или, по крайней мере, временно отключить экземпляры BTCPay Server, пока это не будет сделано, чтобы снизить риск несанкционированного доступа.
Пока расследование не завершено, операторам, возможно, стоит проверить активность сервера, балансы кошельков и историю транзакций на предмет подозрительных операций. Тем, кто подозревает, что их горячие кошельки скомпрометированы, не следует продолжать использовать потенциально раскрытые ключи для подписания.
Этот инцидент также показывает, почему резервные копии необходимо хранить в безопасности, а крупные суммы в биткоинах — держать офлайн, а не в кошельках, подключённых к платёжной инфраструктуре.
В августе атаке подвергся Coldcard
В августе жертвой эксплойта стал и Coldcard — популярный производитель кошельков, предназначенных только для биткоина. В результате подтверждённые потери составили не менее 116 миллионов долларов. По словам генерального директора Blockaid Идо Бен-Натана, инцидент с Coldcard выявил фундаментальную слабость криптоиндустрии: зависимость от закрытых ключей, которые могут стать единой точкой отказа.
Натан сказал: «Доступ к этим средствам — своего рода одноразовый. В этом есть преимущество: никто другой не может получить к ним доступ. Но недостаток в том, что это единая точка отказа».
Он также заявил: «Урок здесь в том, что нельзя просто держать активы где-то, забыть о них и не думать о них — это не решение, потому что меры безопасности постоянно меняются. Нужно либо постоянно быть настороже, либо поручить принятие таких решений кому-то ещё».
Причиной эксплойта стала серьёзная ошибка в прошивке, которая позволяла нарушить процедуру генерации seed-фразы на устройствах Coldcard. Из-за этого исчезал фактор случайности, необходимый для создания надёжных кошельков, и злоумышленники могли вычислить закрытые ключи и вывести биткоины из этих кошельков. По данным исследовательской компании K33, пострадало более 7 000 адресов.
В среднем почти три четверти средств, похищенных в результате криптовалютных эксплойтов в первой половине 2026 года, связаны с компрометацией закрытых ключей.
Не просто читайте новости о криптовалютах — разбирайтесь в них. Подпишитесь на нашу рассылку. Это бесплатно.