משתמשי BTCPay Server נקראים לשדרג לאחר שנגנבו Bitcoin ו-Litecoin מארנקים חמים

BTCPay Server, מעבד תשלומים במטבעות קריפטוגרפיים בקוד פתוח ובאחסון עצמי, קרא למשתמשים להתקין את הגרסה האחרונה לאחר דיווחים שלפיהם Bitcoin ו-Litecoin נגנבו מארנקים חמים במופעים שהריצו גרסאות ישנות. החברה אמרה שהחקירה שלה מצאה שהתקיפות כוונו לשרתים שהריצו גרסה 2.4.1 או קודמת, בעוד התוקפים השתמשו בשיטה אחרת כדי לנצל את הפגיעות שתוקנה בגרסה 2.4.2. למשתמשים בגרסאות שנפגעו מומלץ לעבור לשרת חדש עם ארנק חדש, גם אם לא זוהתה גניבה.

גרסאות מושפעות ושלבי התאוששות

BTCPay Server אמרה שהתקיפות כוונו לשרתים שהריצו גרסה 2.4.1, ששוחררה ב-23 ביולי 2026, או קודמת. הפגיעות תוקנה בגרסה 2.4.2, ששוחררה ב-7 באוגוסט 2026, אך התוקפים השתמשו בשיטה אחרת כדי לנצל אותה. למשתמשים שהריצו גרסה 2.4.1 או קודמת מומלץ לעבור לשרת חדש עם ארנק חדש, גם כאשר לא זוהתה גניבה. אם נגנבו כספים או יש חשד לגישה בלתי מורשית, יש להתייחס למכונה כולה ולכל הסודות המאוחסנים בה כאל נפגעים, ולפעול לפי אותם נהלי התאוששות.

הגרסה האחרונה ואירועים שדווחו

BTCPay Server אמרה שלא התקבלו דיווחים מהימנים על ריקון ארנקים חמים ממשתמשים שהריצו את הגרסה האחרונה 2.4.7. גרסה זו מטפלת בפגיעות אבטחה קריטית אחת ובכמה פגיעות בדרגת חומרה בינונית שהתגלו באמצעות סורק OSS של Anthropic. דיווחים על התקיפות האחרונות החלו להופיע בסביבות 1 בנובמבר 2026, ולא ידוע מתי החלו התוקפים לנצל לראשונה את הפגיעות. BTCPay Server גם שיתפה שני כתובות ארנק הקשורות לאירועים: כתובת Bitcoin, bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7, וכתובת Litecoin, ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

הפגיעות מאוגוסט והרקע הקשור

באוגוסט 2026, BTCPay Server חשפה שתוקפים הפכו פגיעות קריטית לכלי לגניבת כספים מכמה משתמשים. הבעיה משפיעה על כל גרסאות BTCPay Server ותוקנה בגרסה 2.4.2. היא יכלה לאפשר לתוקף מרוחק לא מאומת להשיג קובצי אישורים .macaroon עבור LND, מימוש של Lightning Network, ואותם אישורים יכלו לשמש להשתלטות על צומת LND ולהעברת כספים. התקיפות שנבדקו כוונו רק לקבצים עם סיומת .macaroon. BTCPay Server אמרה שלא ברור אם קבוצת התקיפות האחרונה קשורה לאותה פגיעות.

אמצעי זהירות וספקי אחסון

BTCPay Server הזהירה שאם יש צורך בארנק חם לפעילות יומיומית, יש להחזיק בשרת רק את הכספים הדרושים לאותן פעולות, ואת השאר להעביר לארנק שמפתחות ההוצאה שלו נשמרים מחוץ לשרת. אם BTCPay Server מופעל דרך ספק אחסון, ייתכן שהמופע נסגר אוטומטית כדי למנוע ניצול של גרסאות ישנות. ההתפתחות חופפת לשורה של הפרות אבטחה וניצול פגיעויות בתחום המטבעות הקריפטוגרפיים, כולל גניבת השיא של 6.43 מיליארד דולר מ-Binance בידי שחקני איום מצפון קוריאה. באותו יום, ענקית שוקי התחזיות Polymarket עצרה לזמן קצר את המסחר לאחר שנפגעה מניצול פגיעות בסך 2.65 מיליון דולר בעקבות פגיעה בתוכנה שפיתחה DebugBear. יצרנית ארנקי החומרה Trezor גם הזהירה שקיבלה דוח גילוי אחראי שלפיו קיים שתל חומרה ב-Trezor Safe 5 שנרכש מ-CryptoBilis באוגוסט 2026, שהוערך כחלק מהתקפת שרשרת אספקה מתוחכמת שבה חלק מהמכשירים הנמכרים דרך מפיצים צד שלישי עוברים שיבוש פיזי כדי לגנוב את משפט הזרע של הקורבן ולהשתמש בו לניקוז נכסים.

מקורות: The Hacker News