Користувачів BTCPay Server закликали оновитися після крадіжок біткоїнів і лайткоїнів із гарячих гаманців

BTCPay Server, самостійно розміщений відкритий процесор криптовалютних платежів, закликала користувачів встановити найновішу версію після повідомлень про те, що біткоїни й лайткоїни викрадали з гарячих гаманців на екземплярах, які працювали на старіших версіях. Компанія повідомила, що її розслідування виявило: атаки спрямовувалися на сервери з версією 2.4.1 або старішою, а зловмисники використали інший спосіб для експлуатації вразливості, усуненої у версії 2.4.2. Користувачам уражених версій рекомендують перейти на новий сервер із новим гаманцем, навіть якщо крадіжку не помічено.

Уражені версії та кроки відновлення

BTCPay Server повідомила, що атаки спрямовувалися на сервери з версією 2.4.1, випущеною 23 липня 2026 року, або старішою. Вразливість усунули у версії 2.4.2, випущеній 7 серпня 2026 року, але зловмисники використали інший спосіб для її експлуатації. Користувачам, які працюють на версії 2.4.1 або старішій, рекомендують перейти на новий сервер із новим гаманцем, навіть якщо крадіжку не помічено. Якщо кошти викрали або є підозра на несанкціонований доступ, усю машину та всі секрети, що зберігаються на ній, слід вважати скомпрометованими, застосовуючи ті самі процедури відновлення.

Найновіший випуск і повідомлені інциденти

BTCPay Server повідомила, що від користувачів, які працюють на найновішому випуску 2.4.7, не надходило достовірних повідомлень про спустошення гарячих гаманців. Ця версія усуває одну критичну та кілька вразливостей середньої тяжкості, виявлених за допомогою сканера OSS від Anthropic. Повідомлення про найновіші атаки почали з'являтися приблизно 1 листопада 2026 року, і досі невідомо, коли зловмисники вперше почали експлуатувати вразливість. BTCPay Server також оприлюднила дві адреси гаманців, пов'язані з інцидентами: адресу біткоїна, bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7, і адресу лайткоїна, ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Серпнева вразливість і пов'язаний контекст

У серпні 2026 року BTCPay Server розкрила, що критичну вразливість зловмисники використали для викрадення коштів у частини користувачів. Проблема стосується всіх версій BTCPay Server і була виправлена у версії 2.4.2. Вона могла дозволити неавтентифікованому віддаленому зловмиснику отримати файли облікових даних .macaroon для LND, реалізації Lightning Network, а ці облікові дані могли бути використані для захоплення контролю над вузлом LND і переміщення коштів. Перевірені атаки спрямовувалися лише на файли з розширенням .macaroon. BTCPay Server повідомила, що незрозуміло, чи пов'язаний найновіший набір атак із тією самою вразливістю.

Запобіжні заходи та хостинг-провайдери

BTCPay Server застерегла: якщо гарячий гаманець потрібен для щоденних операцій, на сервері слід зберігати лише кошти, необхідні для цих операцій, а решту перемістити до гаманця, ключі витрат якого зберігаються поза сервером. Якщо BTCPay Server працює через хостинг-провайдера, екземпляр могли автоматично вимкнути, щоб старіші версії не експлуатували. Цей розвиток подій збігається з низкою порушень безпеки та експлойтів у криптопросторі, зокрема рекордним викраденням $6.43 мільярда з Binance північнокорейськими акторами загроз. Того самого дня гігант ринків прогнозів Polymarket ненадовго призупинив торгівлю після того, як зазнав експлойту на $2.65 мільйона через компрометацію програмного забезпечення, розробленого DebugBear. Виробник апаратних гаманців Trezor також попередив, що отримав звіт про відповідальне розкриття, у якому йдеться про апаратну закладку в Trezor Safe 5, придбаному в CryptoBilis у серпні 2026 року; це оцінюється як частина витонченої атаки на ланцюг постачання, під час якої деякі пристрої, продані через сторонніх реселерів, фізично підміняють, щоб викрасти seed-фразу жертви й використати її для спустошення активів.

Джерела: The Hacker News