BTCPay Server, một bộ xử lý thanh toán tiền mã hóa mã nguồn mở, đã mở cuộc điều tra an ninh khẩn cấp sau khi có báo cáo về các vụ rút tiền trái phép từ ví nóng. Trong cảnh báo ban đầu được đưa ra vào ngày 2 tháng 11, nhóm phát triển khuyến nghị các nhà vận hành tạm thời ngắt các phiên bản máy chủ của họ bằng tập lệnh tắt máy trong khi các điều tra viên tìm cách xác định cơ chế xâm nhập. Kể từ đó, nhóm đã thu hẹp nguyên nhân chính vào các máy chủ chưa được vá đang chạy phiên bản 2.4.1 trở xuống, đồng thời xác nhận chưa có báo cáo đáng tin cậy nào về việc ví bị rút sạch liên quan đến bản phát hành mới nhất, phiên bản 2.4.7.

Sự cố này đánh dấu vụ báo động an ninh nghiêm trọng thứ hai của dự án trong những tháng gần đây, sau vụ khai thác hồi tháng 8 liên quan đến thông tin đăng nhập quản trị Lightning Network bị xâm phạm. Trong vụ xâm nhập lần này, kẻ tấn công đã giành được toàn quyền quản trị trên các phiên bản dễ bị tấn công, cho phép chúng khởi động các đợt chuyển tiền, đưa trực tiếp tiền vận hành trực tuyến đến những địa chỉ bên ngoài trái phép. Đồng sáng lập BTCPay Server, Nicolas Dorier, xác nhận rằng các nút công khai chạy phiên bản 2.4.7 hoàn toàn không bị ảnh hưởng, mặc dù các nhà phát triển vẫn chưa công khai lỗ hổng kỹ thuật cụ thể đã bị lợi dụng để chiếm quyền các tài khoản quản trị.

Để giảm thiểu nguy cơ bị ảnh hưởng thêm trên toàn hệ sinh thái, nhiều nhà cung cấp dịch vụ lưu trữ bên thứ ba, trong đó có LunaNode, đã nhanh chóng tự động ngừng hoạt động các máy chủ khách hàng bị lộ. BTCPay Server chưa công bố số liệu về tổng thiệt hại hoặc số máy bị xâm phạm, nhưng nhóm đã kêu gọi những người vận hành sử dụng hạ tầng tự lưu trữ lập tức cập nhật lên phiên bản 2.4.7 và gửi nhật ký hệ thống nếu nghi ngờ có hoạt động trái phép. Tổ chức nhắc lại tầm quan trọng của việc tuân thủ nghiêm ngặt các biện pháp bảo mật, đồng thời khuyến nghị mạnh mẽ các đơn vị bán hàng hạn chế số tiền phân bổ vào ví nóng và chuyển các khoản dư lớn hơn vào kho lạnh ngoại tuyến cho đến khi cuộc điều tra kết thúc.