Kẻ tấn công đã chiếm quyền quản trị các máy chủ BTCPay Server lỗi thời và vét sạch ví nóng của chúng; dấu vết cho thấy nguyên nhân là những lỗ hổng đã tồn tại từ trước bản vá tháng 8.

Thiệt hại đổ lên đầu những đơn vị vận hành không cập nhật phần mềm, và nhóm phát triển vẫn chưa công bố tổng số tiền bị mất. BTCPay Server là một bộ xử lý thanh toán miễn phí, mã nguồn mở mà các thương nhân tự lưu trữ để chấp nhận Bitcoin. Với thiết lập ví nóng, máy chủ tự lưu trữ các khóa riêng tư, cho phép phần mềm gửi tiền mà không cần đơn vị vận hành ký từng giao dịch. Vì vậy, bất kỳ ai có quyền quản trị máy chủ như vậy đều có thể chuyển số tiền mã hóa trong đó.

Kẻ tấn công nhắm vào những phiên bản nào?

Đội ngũ BTCPay Server lần đầu phát đi cảnh báo vào cuối ngày 1 tháng 11. Họ yêu cầu mọi nhà vận hành tắt máy chủ của mình cho đến khi cuộc điều tra kết thúc.

Sau đó, thông tin cập nhật đã thu hẹp phạm vi. Hình thức tấn công nhắm vào phiên bản 2.4.1, phát hành ngày 23 tháng 7 năm 2026, và các phiên bản cũ hơn. Trong khi đó, đội ngũ cho biết họ chưa nhận được báo cáo đáng tin cậy nào về việc ví bị rút tiền trên phiên bản 2.4.7 hiện tại.

📢 Cuộc điều tra ứng phó sự cố của chúng tôi đã xác định hình thức tấn công nhắm vào các máy chủ chạy phiên bản 2.4.1 (23 tháng 7 năm 2026) trở xuống. Chúng tôi chưa nhận được báo cáo đáng tin cậy nào về việc ví nóng bị rút tiền ở người dùng chạy phiên bản 2.4.7 mới nhất. Một lần nữa, chúng tôi kêu gọi mọi người duy trì BTCPay Server của mình… pic.twitter.com/gYxK4Bb7fc

— BTCPay Server (@BtcpayServer) ngày 2 tháng 11 năm 2026

Nhà sáng lập Nicolas Dorier cho biết kẻ tấn công đã đăng nhập với tư cách quản trị viên trên các máy chủ bị ảnh hưởng, dù đội ngũ vẫn chưa xác định được bằng cách nào. Cho đến nay, cuộc điều tra đã tìm thấy dấu vết của các lỗ hổng có từ trước phiên bản 2.4.2.

Vụ xâm nhập đánh dấu ít nhất lần thứ hai trong ba tháng qua kẻ tấn công lấy cắp tiền từ các máy chủ BTCPay Server chạy phiên bản cũ hơn 2.4.2. Bản phát hành đó đã vá một lỗ hổng nghiêm trọng vào tháng 8, cho phép kẻ tấn công từ xa lấy thông tin đăng nhập của nút Lightning và rút tiền từ các ví được kết nối.

Ngay cả khi đó, lỗi này đã bị khai thác tích cực.

Ví nóng BTCPay Server có đáng để mạo hiểm không?

Các nhà cung cấp dịch vụ lưu trữ cũng nhanh chóng hành động. Theo đội ngũ, LunaNode và một số đơn vị khác có thể đã tự động tắt máy chủ của khách hàng để ngăn chặn các cuộc tấn công vào những phiên bản cũ.

Bản thân Dorier sử dụng phiên bản 2.4.7 cùng ví nóng. Tuy vậy, nhà sáng lập cảnh báo không nên giữ số tiền lớn trên bất kỳ máy chủ nào.

Đừng để trong ví nóng số tiền lớn hơn mức bạn sẵn sàng mất. Chúng tôi không thể đảm bảo chuyện này sẽ không xảy ra lần nữa.

Nicolas Dorier, X

Sự cố này phù hợp với xu hướng rộng hơn trong hệ sinh thái hạ tầng Bitcoin tự lưu trữ. Gần đây, Core Lightning cảnh báo rằng kẻ tấn công đang nhắm vào các nút chưa được vá. Trong cả hai trường hợp, bản sửa lỗi đã có trước khi xảy ra vụ trộm, nên điểm yếu nhất là nhà vận hành chỉ cài đặt BTCPay Server một lần rồi không bao giờ cập nhật.