BTCPay Server, phần mềm mã nguồn mở miễn phí mà các doanh nghiệp sử dụng để chấp nhận Bitcoin, đã yêu cầu các nhà vận hành tắt các phiên bản máy chủ của họ vào Chủ nhật, sau khi có báo cáo rằng kẻ tấn công đang rút sạch ví nóng trên các máy chủ bị ảnh hưởng, Decrypt đưa tin. Dự án đăng cảnh báo lúc 5:25 chiều theo giờ ET ngày 1 tháng 11 năm 2026, cho biết họ nhận được báo cáo về việc ví nóng bị rút sạch và yêu cầu các nhà vận hành chạy tập lệnh tắt máy chủ cho đến khi cuộc điều tra hoàn tất.

Khoảng hai giờ sau, nhà sáng lập Nicolas Dorier cho biết các báo cáo dường như liên quan đến những bản phát hành cũ hơn phiên bản 2.4.2, và kẻ tấn công đã đăng nhập vào các máy chủ bị ảnh hưởng bằng quyền quản trị viên. Sau đó, theo bản cập nhật tiếp theo, dự án cho biết cuộc điều tra đã xác định được một phương thức tấn công nhắm vào các phiên bản chạy 2.4.1, phát hành ngày 23 tháng 7, hoặc cũ hơn.

Thông tin chính

• BTCPay Server đưa ra cảnh báo ngừng hoạt động vào Chủ nhật, ngày 1 tháng 11 năm 2026, lúc 5:25 chiều ET.

• Dự án cho biết phương thức tấn công nhắm vào phiên bản 2.4.1, phát hành ngày 23 tháng 7, hoặc các phiên bản cũ hơn.

• Hôm thứ Năm, BTCPay phát hành phiên bản 2.4.7 dưới dạng bản cập nhật khẩn cấp, khắc phục một lỗ hổng nghiêm trọng và một số lỗ hổng có mức độ nghiêm trọng trung bình.

• Các lỗ hổng trong phiên bản 2.4.7 được phát hiện thông qua trình quét phần mềm nguồn mở tiên tiến của Anthropic.

• Một số nhà cung cấp dịch vụ lưu trữ, trong đó có LunaNode, tự động tắt các phiên bản BTCPay để ngăn những phiên bản cũ bị khai thác.

Phần mềm tự lưu trữ không có công tắc tắt tập trung

Vì BTCPay được tự lưu trữ, mỗi thương nhân chạy phần mềm này trên máy chủ của riêng mình và không có đơn vị điều hành tập trung nào có thể vô hiệu hóa các phiên bản thay họ. Vì vậy, dự án đã phải công khai kêu gọi các nhà vận hành tự hành động.

Rủi ro tập trung ở cấu hình ví nóng tùy chọn, trong đó cụm từ khôi phục của thương nhân được lưu trên máy chủ kết nối internet để có thể tự động ký giao dịch. Tài liệu hướng dẫn ví của BTCPay gắn nhãn tính năng này là "NGUY HIỂM" và cảnh báo tính năng có thể gây ra rủi ro bảo mật. Dự án cho biết chưa nhận được báo cáo đáng tin cậy nào về việc ví nóng bị rút sạch ở những người dùng phiên bản 2.4.7 mới nhất, đồng thời đề nghị bất kỳ ai bị ảnh hưởng gửi thông tin chi tiết và nhật ký cho đội ngũ bảo mật.

Bản cập nhật khẩn cấp được phát hành vài ngày trước khi các báo cáo xuất hiện. BTCPay chưa cho biết liệu các cuộc tấn công có khai thác bất kỳ lỗ hổng nào được khắc phục trong phiên bản 2.4.7 hay không, cũng chưa tiết lộ có bao nhiêu máy chủ bị ảnh hưởng hoặc bao nhiêu Bitcoin đã bị lấy cắp.

Lời cảnh báo tháng 8 lặp lại

Đây là sự cố bảo mật đáng lo ngại thứ hai của dự án trong năm nay. Tháng 8, BTCPay cảnh báo một lỗ hổng nghiêm trọng trong tất cả các phiên bản trước 2.4.2 đang bị khai thác tích cực, đồng thời yêu cầu người dùng cập nhật hoặc tắt hệ thống. Sau đó, những người ủng hộ đã tài trợ một khoản tiền thưởng phục hồi tương đương 10% số tiền bị đánh cắp được hoàn trả, tối đa 3 BTC. Sự cố mới nhất một lần nữa hướng các nhà vận hành đến biện pháp khắc phục mà dự án đã nhấn mạnh suốt cả năm: sử dụng phần mềm phiên bản hiện hành.

Vì sao điều này quan trọng

Các thương nhân chấp nhận Bitcoin mà không thông qua đơn vị xử lý lưu ký phụ thuộc vào BTCPay và các công cụ tương tự để tự nắm giữ và luân chuyển tiền, vì vậy một lỗ hổng làm lộ ví nóng sẽ trực tiếp đe dọa doanh thu kinh doanh. Sự việc cũng cho thấy một dự án tự lưu trữ phải dựa vào sự tự nguyện tuân thủ nhanh đến mức nào, bởi công cụ duy nhất họ có là hướng dẫn các nhà vận hành nên làm gì. Với các thương nhân, khác biệt thực tế nằm giữa ví nóng tự động và các cấu hình giữ khóa ngoại tuyến.

Điều cần theo dõi

Những tín hiệu tiếp theo cần theo dõi là kết quả điều tra của BTCPay, bao gồm việc liệu các vụ rút tiền có bắt nguồn từ những lỗ hổng được khắc phục trong phiên bản 2.4.7 hay không, cùng mọi thông tin công bố về số lượng máy chủ bị ảnh hưởng hoặc lượng Bitcoin bị đánh cắp. Dự án đã đề nghị các nhà vận hành bị ảnh hưởng gửi nhật ký, điều này có thể góp phần làm rõ sự việc.

Đăng lần đầu trên CoinPulseHQ: https://coinpulsehq.com/btcpay-server-hot-wallet-drains-shutdown/