BTCPay Server ostrzegł użytkowników, aby wyłączyli swoje serwery płatności po otrzymaniu zgłoszeń o tym, że atakujący uzyskali nieautoryzowany dostęp do starszych instalacji i opróżnili środki z podłączonych gorących portfeli Bitcoin.
Podsumowanie
- BTCPay Server wezwał operatorów do wyłączenia swoich serwerów płatności po otrzymaniu zgłoszeń o tym, że atakujący uzyskali nieautoryzowany dostęp i opróżnili środki z podłączonych gorących portfeli Bitcoin.
- Śledztwo projektu zidentyfikowało wektor ataku dotyczący instalacji działających na wersji 2.4.1 lub starszej, podczas gdy najnowsze wydanie 2.4.7 nie ma wiarygodnych zgłoszeń o opróżnieniu portfeli.
- Współzałożyciel BTCPay Server, Nicolas Dorier, powiedział, że atakującym udało się zalogować z uprawnieniami administratora na dotkniętych instancjach, choć śledczy nie ustalili jeszcze, w jaki sposób uzyskali dostęp.
- Dostawcy hostingu, w tym LunaNode, podjęli środki ostrożności, aby wyłączyć niektóre instalacje, a dotkniętych użytkowników poproszono o przesłanie szczegółów incydentu i logów serwera.
- BTCPay Server nie ujawnił łącznej kwoty skradzionej kryptowaluty ani liczby naruszonych serwerów, a jego śledztwo jest w toku.
W ostrzeżeniu bezpieczeństwa z 2 listopada open-source'owy procesor płatności Bitcoin poinformował, że bada zgłoszenia o nieautoryzowanych wypłatach z portfeli i poprosił operatorów o tymczasowe wyłączenie swoich instancji za pomocą skryptu ./btcpay-down.sh.
Ostrzeżenie początkowo dotyczyło wszystkich użytkowników, podczas gdy zespół pracował nad ustaleniem, w jaki sposób atakujący uzyskują dostęp. Późniejsze śledztwo zawęziło podejrzany wektor ataku do instalacji działających na wersji 2.4.1, wydanej 23 lipca 2026 r., lub starszej.
BTCPay Server poinformował, że nie otrzymał wiarygodnych zgłoszeń o opróżnieniu gorących portfeli dotyczących najnowszej wersji 2.4.7, i wezwał operatorów do aktualizowania oprogramowania.
Projekt nie ujawnił, ile kryptowaluty skradziono, ile serwerów zostało naruszonych ani ilu użytkowników zgłosiło straty.
BTCPay Server wskazuje starsze instalacje jako cele ataków
Zgodnie z najnowszym komunikatem projektu, jego śledztwo w ramach reagowania na incydenty zidentyfikowało wektor ataku dotyczący starszych wersji oprogramowania płatności, choć zespół nie wyjaśnił jeszcze publicznie technicznej słabości, która umożliwiła włamania.
BTCPay Server to samodzielnie hostowany procesor płatności kryptowalutowych, który pozwala sprzedawcom i osobom prywatnym przyjmować płatności Bitcoin bez polegania na tradycyjnym pośredniku płatności. Operatorzy mogą zarządzać własną infrastrukturą płatności i podłączać portfele do odbierania i zarządzania środkami.
Zgłoszone ataki dotyczyły gorących portfeli, które pozostają podłączone do systemów online i mogą być używane do wysyłania transakcji kryptowalutowych. Środki przechowywane w tych portfelach mogą być narażone, jeśli atakujący uzyskają wystarczający dostęp do systemów, które nimi zarządzają.
W swoim początkowym ostrzeżeniu BTCPay Server poinformował, że otrzymuje zgłoszenia o opróżnianiu gorących portfeli przez nieautoryzowanych atakujących. Opróżnienie portfela polega na przeniesieniu dostępnych środków z jednego lub więcej adresów do innego miejsca docelowego.
Instrukcje projektu wzywały operatorów do wyłączenia swoich instancji w trakcie kontynuowania śledztwa. Późniejsza aktualizacja dostarczyła bardziej szczegółowych informacji o dotkniętych wersjach oprogramowania oraz o braku wiarygodnych zgłoszeń o opróżnieniu dotyczących wydania 2.4.7.
Użytkownicy, którzy uważają, że ich serwery zostały przejęte, zostali poproszeni o przesłanie szczegółów incydentu i odpowiednich logów systemowych na adres [email protected].
Założyciel BTCPay Server twierdzi, że atakujący uzyskali dostęp administratora
Współzałożyciel BTCPay Server, Nicolas Dorier, podał dalsze szczegóły dotyczące podejrzanych włamań w osobnym oświadczeniu z 2 listopada.
Dorier powiedział, że publiczne serwery projektu, na których działała wersja 2.4.7, nie zostały zaatakowane. Na podstawie dostępnych mu raportów dotknięte instalacje wydawały się działać na wersjach wydanych przed 2.4.2.
Wyjaśnił, że atakującemu udało się zalogować z uprawnieniami administratora na dotkniętych instancjach, ale zespół wciąż próbował ustalić, w jaki sposób uzyskano ten dostęp.
Dostęp administratora może dać komuś kontrolę nad ważnymi ustawieniami i funkcjami serwera, w zależności od konfiguracji oprogramowania i uprawnień dostępnych dla konta.
Najnowszy incydent następuje po wcześniejszym naruszeniu bezpieczeństwa w sierpniu, kiedy BTCPay Server ostrzegał przed aktywnie wykorzystywaną luką w zabezpieczeniach, która mogła skutkować kradzieżą środków.
Jak wcześniej informował crypto.news, projekt wezwał użytkowników do natychmiastowej aktualizacji do wersji 2.4.2 lub wyłączenia serwerów, jeśli nie mogli zainstalować poprawki bezpieczeństwa.
Sierpniowa luka pozwalała atakującym uzyskać poświadczenia macaroon administratora LND z dotkniętych instalacji i uzyskać dostęp do podłączonych portfeli Lightning. BTCPay Server podał, że wada nie naruszyła zwykłych portfeli on-chain, w tym portfeli hot.
Projekt następnie ogłosił nagrodę za odzyskanie równą 10% odzyskanych środków, z limitem 3 BTC, jeśli wszystkie skradzione aktywa zostałyby odzyskane.
Fundacja BTCPay Server przekazała po 0,21 BTC deweloperowi Sparrow Wallet Craigowi Rawowi oraz funduszowi Bitcoin Red Team za odkrycie i zgłoszenie wcześniejszej luki.
Dostawcy hostingu wyłączyli niektóre instancje BTCPay Server
Po najnowszym ostrzeżeniu dostawcy hostingu rozpoczęli działania zapobiegawcze, aby starsze instalacje nie pozostały narażone.
W kolejnej aktualizacji z 2 listopada BTCPay Server podał, że użytkownicy uruchamiający oprogramowanie za pośrednictwem dostawcy hostingu mogą odkryć, że ich instancje zostały już automatycznie wyłączone.
Projekt podziękował LunaNode i innym firmom hostingowym za szybką reakcję po jego wstępnym ogłoszeniu.
Takie wyłączenia oznaczają, że niektórzy operatorzy mogą nie mieć dostępu do swoich serwerów płatności, dopóki ich dostawca hostingu nie przywróci usługi lub dotknięta instalacja nie zostanie ponownie uruchomiona.
BTCPay Server nie opublikował pełnej listy dostawców hostingu, którzy zawiesili instancje, ani nie ujawnił, ile serwerów zostało wyłączonych.
Ostrzeżenie bezpieczeństwa pojawia się po innym niedawnym incydencie dotyczącym infrastruktury płatności Bitcoin. We wrześniu Core Lightning ostrzegł operatorów, że atakujący celują w starsze, niezałatane węzły Lightning.
Core Lightning podał, że otrzymał raporty o atakach na podatne instalacje, chociaż nie ustalono, czy te próby doprowadziły do kradzieży środków.
Śledztwo w sprawie bezpieczeństwa trwa, gdy użytkownicy zgłaszają straty w portfelach
Samodzielnie hostowana konstrukcja BTCPay Server daje operatorom bezpośrednią kontrolę nad ich systemami płatności, w tym aktualizacjami oprogramowania, administracją serwera i konfiguracjami portfeli.
Projekt zalecił ograniczenie ilości kryptowalut przechowywanych w portfelach hot i przeniesienie nadwyżki środków do zimnego przechowywania, gdzie klucze prywatne są utrzymywane w trybie offline.
Jego najnowsze wydanie, wersja 2.4.7, zostało wskazane jako wersja, dla której zespół nie otrzymał wiarygodnych raportów o opróżnieniu portfeli. Oświadczenie nie ustaliło, że każde wcześniejsze wydanie zostało przejęte ani że każda instalacja działająca na dotkniętej wersji poniosła stratę.
BTCPay Server poprosił dotkniętych operatorów o zachowanie i przesłanie logów swojemu zespołowi ds. bezpieczeństwa, podczas gdy śledczy kontynuują badanie dostępu administratora zgłoszonego przez Doriera.
Nie podano publicznego harmonogramu zakończenia śledztwa, a projekt nie ogłosił żadnego odzyskania kryptowalut zabranych z dotkniętych portfeli.
