BTCPay Server рекомендовал пользователям старых версий перейти на более новую после того, как уязвимость использовали для кражи средств с горячих кошельков. Как сообщает Odaily, 1 ноября процессор платежей в биткоинах с открытым исходным кодом получил несколько сообщений о несанкционированном выводе средств с горячих кошельков Bitcoin и Litecoin. 2 ноября команда проекта заявила, что атаки были нацелены на серверы под управлением версии 2.4.1 и более ранних.

Уязвимость устранили в версии 2.4.2, выпущенной 7 августа. Основатель BTCPay Server Николя Дорье сообщил, что пострадали серверы под управлением версий до 2.4.2, в особенности 2.4.1; достоверных сообщений о потерях от пользователей последней версии 2.4.7 не поступало. Некоторые поставщики услуг, включая LunaNode, автоматически отключили уязвимые экземпляры старых версий.

Проект рекомендовал пользователям версии 2.4.1 и более ранних версий перевести оставшиеся средства со старых горячих кошельков на новые кошельки, созданные с помощью новых фраз восстановления, отключить старые серверы и сохранить соответствующие журналы. Затем пользователям следовало установить последнюю версию на новую виртуальную машину и подключить новые кошельки, не восстанавливая старый сервер целиком. Одного обновления программного обеспечения может быть недостаточно для устранения риска, поскольку злоумышленники могли сохранить доступ к старым серверам. Средства, хранившиеся вне серверов, в том числе на аппаратных кошельках, не пострадали.

Эта уязвимость связана с той, которую устранили в августе, когда злоумышленники использовали административные учётные данные LND для контроля над узлами. Ей не присвоили номер CVE, и она не включена в каталог известных эксплуатируемых уязвимостей CISA.