Хакеры похитили биткоины из горячих кошельков BTCPay Server

Разработчики платежного сервиса BTCPay Server предупредили о несанкционированном выводе средств из горячих кошельков пользователей. Команда призвала владельцев временно отключить серверы до завершения расследования.

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers. If you’re running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

Первое предупреждение появилось 1 ноября в 22:25 UTC. Для отключения разработчики предложили использовать скрипт ./btcpay-down.sh.

BTCPay Server — бесплатная платежная система с открытым исходным кодом. Она позволяет интернет-магазинам и другим организациям принимать первую криптовалюту самостоятельно, без посредников.

Пользователи размещают программное обеспечение на собственных или арендованных серверах. Проект не управляет этой инфраструктурой централизованно, поэтому не может сам отключить все установки.

BTCPay поддерживает горячие кошельки: сид-фраза хранится на подключенном к интернету сервере и используется для автоматического подписания исходящих транзакций. Такой подход упрощает платежи, но создает риски, если злоумышленник получит доступ к серверу.

Разработчики назвали затронутые версии

Основатель проекта Николя Дорье сообщил, что, по предварительным данным, атаке подверглись серверы с программным обеспечением старше версии 2.4.2.

Update on my part: Our public servers were not attacked (on 2.4.7), it seems reports are on before 2.4.2. The attacker managed to log in as admin on those instance, we are still trying to figure out how.

— Nicolas Dorier (@NicolasDorier) November 2, 2026

По его словам, злоумышленник вошел в систему с правами администратора, но публичные серверы проекта на версии 2.4.7 не пострадали. Разработчики пока не установили, как именно хакер получил доступ.

Позднее команда BTCPay подтвердила эти данные: найденный способ атаки затрагивает версии 2.4.1 и более ранние. Последняя из них вышла 23 июля.

При этом разработчики не получили достоверных сообщений о хищениях с серверов на актуальной версии 2.4.7.

Команда вновь призвала своевременно обновлять BTCPay. Пострадавших пользователей попросили направить сведения об инциденте и журналы работы серверов на адрес security@btcpayserver.org.

Серверы, которые работают через хостинг-провайдеров, могли отключить автоматически, чтобы злоумышленники не воспользовались уязвимостью старых версий. Разработчики поблагодарили LunaNode и других провайдеров за быструю реакцию на первое предупреждение.

Количество затронутых установок, общий размер ущерба и личности злоумышленников к моменту публикации неизвестны.

Недавнее обновление устранило 85 проблем безопасности

29 октября разработчики BTCPay выпустили версию 2.4.7. Она исправила 85 проблем, выявленных с помощью программы Anthropic OSS Scanner.

Согласно отчету разработчиков, одна из них получила критическую оценку опасности, 13 — высокую, 52 — среднюю и 19 — низкую.

Изменения затронули механизмы авторизации, управление выплатами, обработку счетов, программные интерфейсы и другие компоненты платежного сервера.

Специалисты настоятельно рекомендовали установить обновление, особенно владельцам серверов, обслуживающих несколько магазинов.

Связь нынешних хищений с какой-либо из исправленных проблем или с ранее обнаруженными уязвимостями пока не подтверждена.

Напомним, в августе хакеры опустошили Lightning-узлы производителя аппаратных кошельков Foundation и биткоин-издания Citadel21 через критическую уязвимость в BTCPay Server. Злоумышленники получали файлы авторизации LND — программного обеспечения для работы с Lightning Network. С их помощью можно было управлять узлами и выводить средства.

Уязвимость устранили в версии 2.4.2. Разработчики тогда призвали пользователей LND срочно обновиться либо отключить серверы.