Fundador da BTCPay associa varreduras de hot wallet a logins de admin em servidores anteriores à versão 2.4.2
- Nicolas Dorier, fundador da BTCPay Server, afirmou no domingo que os esvaziamentos de carteiras quentes parecem envolver servidores executando versões anteriores à 2.4.2.
- O atacante fez login como administrador nessas instâncias, e a equipe ainda não sabe como.
- A BTCPay encontrou um vetor de ataque direcionado à versão 2.4.1 ou mais antiga e não recebeu relatos credíveis de drenagem na 2.4.7.
Os esvaziamentos de carteiras quentes reportados no domingo parecem envolver servidores executando versões anteriores à 2.4.2, disse Nicolas Dorier, fundador da BTCPay Server.
O atacante fez login como administrador nessas instâncias e a equipe ainda está investigando como isso ocorreu.
Investigação aponta o vetor de ataque nas versões 2.4.1 ou anteriores
O BTCPay emitiu um alerta às 17h25 (ET) de domingo. Ele aconselhou qualquer pessoa que executasse uma instância a desligá-la com ./btcpay-down.sh até que o inquérito seja concluído.
Dorier publicou cerca de 2 horas depois. Os servidores públicos do próprio BTCPay, que executavam a versão 2.4.7, não foram atacados, afirmou ele.
Dorier mais tarde declarou que a equipa tinha indícios de que “as vulnerabilidades anteriores à versão 2.4.2 foram utilizadas.”
O atualização do BTCPay às 23h07 (ET) estreitou o alvo. O inquérito descobriu um vetor de ataque direcionado a instâncias que executavam a versão 2.4.1, lançada a 23 de julho, ou versões anteriores.
O projeto não recebeu “relatórios credíveis de drenagem de carteiras quentes” de usuários na versão 2.4.7, lançada em 29 de outubro. Recomendou aos operadores que mantivessem o software atualizado e pediu às vítimas que enviassem detalhes e registros ao seu time de segurança.
Alguns fornecedores de alojamento podem ter desligado automaticamente as instâncias para evitar que versões antigas fossem exploradas. O BTCPay agradeceu ao LunaNode e a outros pela sua ação rápida.
Os operadores que atualizaram pelo menos uma vez desde o lançamento da versão 2.4.2 não têm “razão para entrar em pânico”, disse Dorier . Ele também alertou os usuários a não manterem muito dinheiro em carteiras quentes, prometendo um post no blog com mais detalhes.
As drenagens de domingo atingiram fundos que o aviso de agosto havia considerado seguros
Como o BTCPay é auto-hospedado, o projeto não pode alterar o servidor de um comerciante nem desligá-lo. O seu modo de carteira quente assina os pagamentos com uma semente armazenada nesse servidor, o que significa que quem controla esse servidor pode mover as moedas.
A linha 2.4.2 remonta a agosto. A BTCPay lançou a versão 2.4.2 em 7 de agosto para corrigir uma vulnerabilidade crítica que já estava sob ataque, conforme relatado pelo Cryptopolitan.
Todas as versões anteriores, incluindo os candidatos à versão 2.4.2, permitiam que um atacante não autenticado roubasse as credenciais macaroon do LND. Um atacante poderia assumir o controle de um nó Lightning e usá-lo para mover seus fundos.
A Foundation e a Citadel21 relataram ataques em seus nós Lightning. Craig Raw, desenvolvedor da Sparrow Wallet, disse que também foi afetado.
Com o lançamento da versão 2.4.2, os macaroons do LND eram automaticamente regenerados. Quando os operadores expunham o LND por meio de seu próprio proxy, serviço Tor ou porta encaminhada, precisavam alterar essas credenciais manualmente.
A versão 2.4.2 também corrigiu uma vulnerabilidade separada de bypass de autenticação de dois fatores (TOTP) via Autenticação Básica da API Greenfield, reportada em 4 de agosto. A BTCPay informou que o bug não estava relacionado ao hack dos macaroons.
O aviso da BTCPay informou que suas próprias carteiras on-chain, incluindo as carteiras quentes (hot wallets), não foram afetadas por essa falha. Relatórios do domingo indicaram que as carteiras quentes estavam sendo esvaziadas.
Nem a BTCPay nem Dorier disseram se o atacante explorou o bug do macaroon de agosto ou outra vulnerabilidade anterior à 2.4.2. Em agosto, os apoiadores ofereceram um prêmio de recuperação de 10% dos fundos devolvidos, até 3 BTC.
River relatou que o uso médio de Bitcoin pelos comerciantes cresceu 74% em 2025, com o volume da Lightning superando US$ 1 bilhão por mês.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Perguntas Frequentes
O que o BTCPay Server pediu aos operadores para fazer?
Desligar suas instâncias com `./btcpay-down.sh` até o fim da investigação.
As carteiras quentes foram afetadas no incidente anterior de agosto?
Não. A BTCPay afirmou que suas carteiras on-chain, incluindo as carteiras quentes, não foram afetadas pela falha de agosto.
Quais versões do BTCPay eram vulneráveis ao bug de agosto?
Todas as versões anteriores à 2.4.2, incluindo seus candidatos a lançamento, expuseram as credenciais macaroon do LND.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
