BTCPay Server попереджає про злив коштів з «гарячих» гаманців на старих версіях
Розробники BTCPay Server закликали терміново оновитися до версії 2.4.7 після атак, унаслідок яких з інстансів на застарілих версіях зникали кошти з «гарячих» гаманців.
BTCPay Server закликав операторів якнайшвидше встановити версію 2.4.7 після виявлення атак, що призводили до несанкціонованих платежів і зливу коштів з «гарячих» гаманців на інстансах із застарілим ПЗ.
Що відомо про інцидент
Команда проєкту повідомила, що ідентифікувала вектор атаки проти інстансів на версії 2.4.1 (23 липня 2026 року) або старіших і спершу порадила операторам зупинити сервери до завершення розслідування. Засновник BTCPay Nicolas Dorier зазначив, що атаки не були націлені на публічні сервери; увагу зосереджено на тому, як зловмисник входив під адміністратором на інстансах зі версіями старшими за 2.4.2.
BTCPay Server каже, що наразі немає достовірних звітів про злив коштів у користувачів на свіжій версії 2.4.7 і знову закликає всіх оновитися.
Критична вада і екстрене оновлення
29 жовтня команда розкрила критичну вразливість, виявлену сканером Frontier OSS від Anthropic, і випустила екстрене оновлення 2.4.7. Водночас є ознаки, що нинішні атаки використовують уразливості у версіях до 2.4.2 — це згодом підтвердили в проєкті. Який саме недолік експлуатується зараз, команда поки не уточнила; на момент публікації відповідь на запит BleepingComputer не надійшла.
Нинішні атаки, за словами команди, пов’язані з версіями 2.4.1 і старішими; підтверджень того, що 2.4.7 повністю захищає від зливу коштів, наразі немає.
Що це за платіжне рішення
BTCPay Server — відкритий самохостинговий платіжний сервіс для бізнесу, що дає змогу приймати Bitcoin та інші цифрові активи без посередників і комісій платформи. Система формує інвойси та перевіряє платежі, зокрема через Lightning Network.
Як діяти операторам
Постраждалим користувачам радять надсилати деталі інцидентів і журнали активності на security@btcpayserver.org. Якщо ваш інстанс працює на 2.4.1 або старішій версії, рекомендують якнайшвидше вимкнути його та провести оновлення.
- Оновлення через інтерфейс: Server Settings → Maintenance → Update.
- Для Docker-інсталяцій: підключитися по SSH, виконати sudo su -, перейти до каталогу cd btcpayserver-docker і запустити ./btcpay-update.sh.
Попередні проблеми безпеки
Ще 7 серпня, із виходом версії 2.4.2, BTCPay попереджав про активно експлуатовану ваду, яка розкривала файли облікових даних LND, що давало змогу атакувальникам контролювати уражені вузли Lightning і викрадати кошти.
