BTCPay Server đã cảnh báo các thương nhân và đơn vị vận hành hệ thống thanh toán tự lưu trữ đưa máy chủ của họ ngoại tuyến, sau khi có thông tin kẻ tấn công đang quét vét Bitcoin từ các ví nóng được kết nối.
Thông báo khẩn cấp được đăng trên tài khoản chính thức của dự án vào khoảng 22:25 UTC ngày 1 tháng 11 năm 2026, yêu cầu các đơn vị vận hành tắt các phiên bản BTCPay Server của họ trong khi các nhà phát triển điều tra những vụ xâm nhập được báo cáo.
Sự cố này làm dấy lên lo ngại đối với các thương nhân sử dụng hạ tầng thanh toán Bitcoin tự lưu trữ để tránh các bên trung gian thanh toán truyền thống. Sự việc cũng làm nổi bật một thách thức về bảo mật đối với phần mềm nguồn mở: bản vá lỗ hổng chỉ bảo vệ những cài đặt thực sự nhận và áp dụng bản cập nhật.
Tại thời điểm các báo cáo ban đầu được đưa ra, nhà phát triển chưa xác nhận lượng Bitcoin bị đánh cắp, số đơn vị chấp nhận thanh toán bị ảnh hưởng hay cách thức kẻ tấn công lần đầu xâm nhập.
Nhà phát triển yêu cầu các đơn vị vận hành đưa máy chủ BTCPay ngoại tuyến
Thông báo khẩn cấp của dự án cho biết các ví nóng kết nối với những bản cài đặt BTCPay Server đang bị kẻ tấn công trái phép rút sạch.
Các đơn vị vận hành được yêu cầu dừng các phiên bản đang chạy bằng lệnh ./btcpay-down.sh cho đến khi các điều tra viên xác định được phạm vi và nguyên nhân của sự cố.
Cộng tác viên chủ chốt Uncle Rockstar Developer nhấn mạnh cảnh báo, mô tả đây là tình huống khẩn cấp và yêu cầu các đơn vị vận hành có ví nóng tắt máy chủ.
BTCPay Server là phần mềm thanh toán mã nguồn mở cho phép các đơn vị chấp nhận thanh toán Bitcoin trực tiếp mà không phụ thuộc vào một đơn vị xử lý thanh toán truyền thống. Doanh nghiệp có thể tự lưu trữ phần mềm và giữ quyền kiểm soát hạ tầng thanh toán cũng như các sắp xếp liên quan đến ví của mình.
Mô hình này đem lại sự độc lập cao hơn trong vận hành, nhưng cũng đặt trách nhiệm bảo trì máy chủ, cập nhật phần mềm và bảo mật ví lên vai đơn vị vận hành.
Nicolas Dorier chỉ ra các phiên bản phần mềm cũ
Nhà sáng lập BTCPay Server Nicolas Dorier sau đó chia sẻ những phát hiện sơ bộ, giúp thu hẹp hướng điều tra về các bản cài đặt cũ.
Theo Dorier, các hệ thống bị ảnh hưởng đang chạy những phiên bản phát hành trước 2.4.2. Kẻ tấn công được cho là đã chiếm quyền truy cập quản trị viên; các dấu vết pháp chứng hướng đến những lỗ hổng có trong các bản phát hành cũ đó.
Dorier cũng cho biết các máy chủ công khai và máy chủ trình diễn chạy phiên bản 2.4.7 chưa bị tấn công.
Sự phân biệt này rất quan trọng vì nó không cho thấy bản phát hành mới nhất là nguồn gốc rõ ràng của các vụ xâm nhập được báo cáo. Tuy nhiên, không nên xem nhận định này là bằng chứng cho thấy mọi bản cài đặt chạy phiên bản 2.4.7 đều miễn nhiễm với tấn công.
Các điều tra viên chưa công bố lời giải thích kỹ thuật đầy đủ, nên điểm xâm nhập chính xác và mối liên hệ giữa các vụ trộm được báo cáo với những lỗ hổng đã công bố trước đó vẫn chưa được làm rõ.
Lỗ hổng Lightning Network trước đây cung cấp thêm bối cảnh
Cuộc điều tra cũng thu hút sự chú ý đến một vấn đề bảo mật riêng của BTCPay Server được công bố hồi tháng 8.
Lỗ hổng đó cho phép kẻ tấn công không cần xác thực lấy được thông tin xác thực macaroon của Lightning Network Daemon (LND). Những thông tin xác thực này hoạt động như mã thông báo cấp quyền truy cập vào các hoạt động cụ thể trên Lightning Network.
Các nhà phát triển đã khắc phục vấn đề này trong phiên bản 2.4.2. Vào thời điểm đó, họ cho biết ví on-chain của chính BTCPay Server không bị lộ thông qua lỗ hổng cụ thể này.
Chưa xác định được liệu các báo cáo về vụ trộm ví hồi tháng 11 có liên quan đến cùng lỗ hổng đó, một lỗ hổng khác ảnh hưởng đến các bản phát hành cũ hay sự kết hợp của nhiều vấn đề bảo mật hay không.
Sự phân biệt này rất quan trọng. Một lỗ hổng đã được vá trước đây có thể giúp lý giải mức độ phơi lộ của các hệ thống triển khai lỗi thời, nhưng không thể xem đó là nguyên nhân đã được xác nhận nếu chưa có báo cáo pháp chứng được công bố.
Phiên bản 2.4.7 khắc phục 85 phát hiện bảo mật chỉ vài ngày trước sự cố
Thời điểm đưa ra cảnh báo khẩn cấp thu hút thêm sự chú ý vì BTCPay Server đã phát hành một bản cập nhật bảo mật lớn chỉ ba ngày trước đó.
Ngày 29 tháng 10 năm 2026, dự án phát hành phiên bản 2.4.7 sau các báo cáo lỗ hổng được tạo ra thông qua sáng kiến quét bảo mật mã nguồn mở của Anthropic.
Bản cập nhật xử lý 85 phát hiện được báo cáo, phân loại như sau:
1 nghiêm trọng
13 mức độ nghiêm trọng cao
52 mức độ nghiêm trọng trung bình
19 mức độ nghiêm trọng thấp
Những phát hiện này xuất hiện trong bối cảnh nghiên cứu lỗ hổng bảo mật có sự hỗ trợ của AI đang được mở rộng. Năm 2026, các hệ thống do Anthropic, OpenAI và Google phát triển đã thể hiện năng lực ngày càng tiên tiến trong việc xác định các điểm yếu tiềm ẩn của phần mềm.
Sáng kiến quét bảo mật của Anthropic đã báo cáo hơn 29.000 lỗ hổng tiềm năng trong sáu tháng, dù chỉ một phần trong số đó được xem xét thủ công.
Sự cố của BTCPay Server cho thấy sự khác biệt giữa việc tìm ra lỗ hổng và bảo mật phần mềm đang chạy trong môi trường thực tế. Một dự án có thể phát hành bản sửa lỗi, nhưng các máy chủ do bên thứ ba tự vận hành sẽ không tự động cập nhật.
Một bản cài đặt vẫn dùng phiên bản cũ có thể tiếp tục khiến người dùng gặp rủi ro từ những điểm yếu mà nhà phát triển đã khắc phục.
Các đơn vị chấp nhận thanh toán ngừng hoạt động hạ tầng thanh toán
Cảnh báo này khiến các doanh nghiệp, trong đó có Coincards, đưa các bản cài đặt BTCPay Server ngoại tuyến.
Đối với các đơn vị chấp nhận thanh toán, quyết định này tạo ra sự đánh đổi tức thời trong hoạt động. Duy trì máy chủ thanh toán giúp các giao dịch diễn ra bình thường, nhưng để một ví nóng có khả năng đã bị xâm phạm tiếp tục kết nối có thể khiến tiền bị chuyển trái phép thêm.
Dorier cũng nhắc lại tầm quan trọng của việc giữ số dư trong ví nóng ở mức giới hạn mà các đơn vị vận hành có thể chấp nhận mất.
Ví nóng được kết nối với các hệ thống trực tuyến và thường được dùng cho những giao dịch thường ngày. Khả năng truy cập dễ dàng khiến chúng hữu ích cho việc xử lý thanh toán, nhưng đồng thời cũng đòi hỏi các biện pháp kiểm soát bảo mật chặt chẽ và giới hạn số tiền lưu trữ trong ví.
Do đó, sự cố được báo cáo đã làm dấy lên mối quan tâm trở lại về mức độ phơi lộ của ví, quyền truy cập máy chủ, quy trình cập nhật và việc tách biệt tiền phục vụ hoạt động khỏi các khoản dự trữ lớn hơn.
Thách thức bảo mật rộng hơn đối với thanh toán tiền mã hóa tự lưu trữ
Mô hình của BTCPay Server giúp các đơn vị chấp nhận thanh toán kiểm soát trực tiếp các khoản thanh toán bằng Bitcoin, nhưng việc tự lưu trữ không loại bỏ nhu cầu quản lý bảo mật liên tục.
Các đơn vị vận hành phải theo dõi các bản phát hành phần mềm, áp dụng bản vá, bảo vệ thông tin đăng nhập quản trị viên và đánh giá rủi ro liên quan đến các ví được kết nối. Việc cập nhật chậm trễ có thể khiến hệ thống bị phơi lộ ngay cả sau khi nhà phát triển đã cung cấp bản sửa lỗi.
Nghiên cứu bảo mật có sự hỗ trợ của AI có thể đẩy nhanh quá trình phát hiện và báo cáo lỗ hổng. Điều đó có thể cải thiện bảo mật phần mềm theo thời gian, nhưng cũng tạo áp lực buộc các bên bảo trì và vận hành phải xem xét phát hiện, phát hành bản sửa lỗi và triển khai cập nhật nhanh chóng.
Thách thức này đặc biệt đáng lưu ý với hạ tầng mã nguồn mở được các doanh nghiệp sử dụng, trong đó có thể có những đơn vị không sở hữu đội ngũ bảo mật chuyên trách. Trách nhiệm áp dụng bản vá có thể thuộc về từng đơn vị chấp nhận thanh toán hoặc nhà vận hành dịch vụ.
Cuộc điều tra tiếp tục trong khi thiệt hại vẫn chưa được xác nhận
Các thông tin cập nhật hiện có không đưa ra ước tính xác nhận về lượng Bitcoin bị đánh cắp, số lượng đơn vị chấp nhận thanh toán bị ảnh hưởng đã được xác minh hay tường trình đầy đủ về phương thức tấn công.
Các nhà phát triển đang chuẩn bị giải thích đầy đủ hơn, nhưng những thông tin cập nhật được cung cấp chưa công bố bản vá cụ thể cho sự cố hoặc xác nhận dứt khoát rằng hệ thống đã an toàn.
Cho đến khi các điều tra viên công bố thêm chi tiết, mối liên hệ giữa những vụ trộm được báo cáo, các phiên bản phần mềm cũ và những lỗ hổng đã công bố trước đó vẫn chỉ là nhận định sơ bộ.
Được đăng lần đầu trên CryptosNewss.com