BTCPay Server kêu gọi các đơn vị vận hành tắt các instance của họ vào Chủ nhật sau khi phát hiện các bên trái phép đang truy cập và rút tiền từ ví nóng. Trong thông báo trên X, dự án đề nghị tất cả quản trị viên instance đưa nền tảng của mình ngoại tuyến bằng lệnh tắt máy trong khi chờ kết luận điều tra.

Tuy nhiên, dự án vẫn chưa tiết lộ nguyên nhân gốc rễ, số lượng máy chủ bị ảnh hưởng hay tổng số tiền bị đánh cắp.

BTCPay Server gần đây đã gặp hai sự cố khác

BTCPay Server chia sẻ trên X: “Chúng tôi nhận được báo cáo về việc các ví nóng trên BTCPay Server bị những kẻ tấn công trái phép vét sạch. Nếu bạn đang vận hành một máy chủ, vui lòng tắt máy chủ (./btcpay-down.sh) cho đến khi chúng tôi hoàn tất điều tra.”

Vì BTCPay được tự lưu trữ, trách nhiệm tắt máy chủ hoàn toàn thuộc về chủ sở hữu từng máy chủ. Theo tài liệu hướng dẫn, chức năng ví nóng lưu seed trực tiếp trên máy chủ để ký giao dịch và cho phép thanh toán nhanh mà không cần dựa vào phần cứng bên ngoài. Đáng tiếc, sự tiện lợi này khiến ví nóng dễ bị tấn công hơn nhiều so với lưu trữ lạnh.

Ví nóng đặc biệt dễ bị tấn công vì khóa riêng tư được lưu trên các hệ thống kết nối Internet, nên kẻ tấn công có thể truy cập nếu xâm nhập được cơ sở hạ tầng bên dưới. Khác với ví lạnh, vốn lưu khóa ký ngoại tuyến, ví nóng ưu tiên sự tiện lợi và cho phép người bán xử lý giao dịch nhanh hơn.

Với các doanh nghiệp dùng BTCPay Server để nhận thanh toán bằng Bitcoin, ví nóng bị xâm nhập có thể làm lộ tiền dành cho việc thanh toán cho người bán hoặc giao dịch của khách hàng. Vì vậy, cảnh báo mới nhất đặt ra câu hỏi về cách các đơn vị vận hành có thể cân bằng sự tiện lợi trong thanh toán với nhu cầu bảo vệ khóa riêng tư khỏi truy cập trái phép.

Bình luận về sự việc, Samson Mow, CEO của JAN3, một công ty công nghệ BTC, khuyến nghị: “Tôi nghĩ ưu tiên trước mắt là để SamRock làm việc với Indra càng sớm càng tốt, để người dùng BTCPay có thể nhận tiền trực tiếp vào Aqua Bitcoin và thường xuyên chuyển đổi sang lưu trữ lạnh.”

Cảnh báo này được đưa ra ngay sau hai sự cố bảo mật khác liên quan đến dự án. Chỉ vài ngày trước, vào ngày 29 tháng 10, BTCPay đã phát hành bản cập nhật khẩn cấp (v.2.4.7) để khắc phục lỗ hổng này cùng một số lỗ hổng khác.

Hồi tháng 8, những kẻ tấn công cũng khai thác một lỗ hổng bảo mật khác, dẫn đến việc đánh cắp các khóa Lightning Network và rút sạch tiền từ nhiều nút liên quan, trong đó có một nút thuộc về Foundation, nhà sản xuất ví phần cứng. Tuy nhiên, BTCPay đã đảm bảo với người dùng rằng ví on-chain tiêu chuẩn và ví nóng tích hợp của họ không bị ảnh hưởng bởi cuộc tấn công này.

Dù vậy, dự án đã yêu cầu người dùng cập nhật máy chủ lên phiên bản 2.4 hoặc, ít nhất là tạm thời, vô hiệu hóa các máy chủ BTCPay Server cho đến khi có thể cập nhật, qua đó giảm nguy cơ truy cập trái phép.

Cho đến khi cuộc điều tra hoàn tất, các đơn vị vận hành có thể cần kiểm tra hoạt động máy chủ, số dư ví và lịch sử giao dịch để tìm những khoản dịch chuyển đáng ngờ. Những ai nghi ngờ ví nóng của mình đã bị xâm nhập không nên tiếp tục sử dụng các khóa ký có thể đã bị lộ.

Sự cố này cũng cho thấy vì sao cần bảo quản bản sao lưu an toàn và giữ số dư Bitcoin lớn ở chế độ ngoại tuyến, thay vì trong các ví kết nối với hạ tầng thanh toán.

Coldcard bị tấn công hồi tháng 8

Hồi tháng 8, Coldcard, một nhà sản xuất ví chỉ dành cho Bitcoin được ưa chuộng, cũng bị tấn công khai thác lỗ hổng, gây thiệt hại đã được xác nhận ít nhất 116 triệu đô la cho đến nay. Theo Ido Ben-Natan, CEO của Blockaid, sự cố Coldcard phơi bày điểm yếu cốt lõi của tiền mã hóa: sự phụ thuộc vào các khóa riêng tư có thể trở thành điểm lỗi duy nhất.

Natan nói: “Đây là kiểu quyền truy cập chỉ sử dụng một lần vào những thứ này. Ưu điểm là không ai khác có thể vào và truy cập chúng. Nhưng nhược điểm là nó trở thành một điểm lỗi duy nhất.”

Ông nói thêm: “Bài học ở đây là để tài sản ở một nơi rồi quên bẵng đi, không nghĩ đến chúng, thực sự không phải là giải pháp, bởi các biện pháp bảo mật luôn thay đổi. Bạn phải luôn cảnh giác, hoặc giao việc ra quyết định đó cho người khác.”

Lỗ hổng bắt nguồn từ một lỗi nghiêm trọng trong phần sụn, cho phép làm sai lệch quy trình tạo seed ví trên các thiết bị Coldcard. Điều này loại bỏ yếu tố ngẫu nhiên cần thiết để tạo ví an toàn, khiến kẻ tấn công có thể tính toán khóa riêng tư và rút sạch Bitcoin khỏi các ví đó. Theo công ty nghiên cứu K33, hơn 7.000 địa chỉ đã bị ảnh hưởng.

Trung bình, gần ba phần tư số tiền bị đánh cắp trong các vụ khai thác lỗ hổng tiền mã hóa trong nửa đầu năm 2026 có liên quan đến việc khóa riêng tư bị xâm phạm.

Đừng chỉ đọc tin tức tiền mã hóa. Hãy hiểu chúng. Đăng ký nhận bản tin của chúng tôi. Miễn phí.