В экстренном обновлении BTCPay обнаружен риск безопасности Bitcoin на стороне продавца

, программное обеспечение с открытым исходным кодом, используемое продавцами для приема BitcoinВ связи с уязвимостью, которая могла привести к краже средств у пользователей, сервер BTCPay , выпустил экстренное обновление

Какdentв запросе на слияние GitHub #7491, эта уязвимость позволяет киберпреступникам обходить двухфакторную аутентификацию TOTP через базовую аутентификацию API Greenfield от BTCPay. Причина уязвимости заключается в том, что механизм аутентификации проверял наличие зарегистрированных действительных учетныхdent, а не сам факт включения двухфакторной аутентификации. Таким образом, учетные записи, защищенные приложением-аутентификатором TOTP, могли получить доступ к API, используя только свою электронную почту и учетныеdent.

Важно отметить, что уязвимость существует на уровне приложения BTCPay, а не в протоколе Bitcoin (BTC).

BTCPay выпустила версию 2.4.2 своего программного обеспечения, одновременно рекомендуя пользователям убедиться, что они обновили NBXplorer до версии 2.6.10. Обновленное программное обеспечение устраняет «критическую уязвимость», которая в настоящее время используется злоумышленниками.

Рынок, который отреагировал на опасения по поводу платежей равнодушно

Несмотря на сохраняющиеся проблемы безопасности платежной системы, Bitcoinостаются относительно стабильными. Bitcoin торгуется примерно по 64 889 долларов, что всего на 0,82% больше, чем днем ​​ранее, в то время как его рыночная капитализация в 1,3 триллиона долларов выросла всего на 0,79%. Хотя торговая активность стала выше (объем торгов за 24 часа увеличился на 20,98%), относительно стабильная цена и рыночная капитализация указывают на то, что инцидентdent не оказал влияния на Bitcoinобщую рыночную оценку Биткоина

Сдержанная реакция вполне объяснима. Уязвимость BTCPay затрагивает только отдельных продавцов и операторов, а не правила консенсуса Bitcoinили криптографию.

Однако это не означает, что это незначительно. BTCPay создает связь между Bitcoin и платежными системами предприятий, выставляющих счета, получающих платежи и управляющих кошельками. Поэтому в случае атаки на учетную запись оператора становится возможным нанести реальные финансовые потери, несмотря на надлежащее функционирование блокчейна Bitcoin .

Что компания BTCPay рекомендовала операторам сделать

Простое и быстрое решение этой проблемы: обновите BTCPay Server до версии 2.4.2, а для интеграторов — обновите NBXplorer до версии 2.6.10.

По данным BTCPay, лучше использоватьAPIвместо базовой аутентификации, поскольку это позволяет более эффективно ограничивать права доступа. В новом патче также внесены изменения в процесс аутентификации, позволяющие проверять, действительно ли активна двухфакторная аутентификация, что устраняет уязвимость, позволявшую учетным записям, защищенным TOTP, избегать второго уровня аутентификации.

Поскольку BTCPay размещается на собственном сервере, операторы не могут полагаться на центрального поставщика в вопросе внедрения патча.

Третий удар по платежной системе Bitcoin

Объявление BTCPay последовало за бурной неделей для Bitcoinплатежной системы Bitcoin. Cryptopolitan сообщал, что ZEUS, поставщик кошелька Lightning, приостановил работу своей платежной инфраструктуры из-за проблемы, связанной с безопасностью системы, и другие поставщики услуг Lightning также пострадали.

Эти события не указывают на какие-либо недостатки в работе протоколов платежей Bitcoin . Однако они показывают, насколько дополнительный риск для безопасности представляет программное обеспечение, построенное на основе блокчейна.

В исследовании 2024 года, проведенном учеными из Северо-восточного университета и Делфтского технического университета, с помощью формального моделирования были выявленыdentбезопасности в одношаговом платежном протоколе Lightning, включая новую атаку типа «гонка выплат».

В отдельном исследовании 2026 года, посвященном атакам с целью получения информации о балансе, было установлено, что злоумышленники могут делать выводы о балансе каналов Lightning. Предложенные меры по смягчению последствий позволили снизить прирост информации на целых 62% в ходе моделирования.

Оба исследования выявляют более важную истину: безопасность Bitcoin зависит не только от блокчейна. Кошельки, API, платежные системы, а также инфраструктура Lightning — все это создает дополнительные точки уязвимости.

Это не первая критическая ошибка в BTCPay

Ранее BTCPay уже сталкивалась с серьезными уязвимостями. В январе 2023 года компания сообщила о CVE-2022-32984, критической утечке информации, затронувшей версии BTCPay 1.3.0, 1.4.0 и 1.5.3.

Уязвимость потенциально может привести к утечке конфиденциальных данных магазина через общедоступные приложения для точек продаж, что может раскрытьdentданные xpub и Lightning, привязанные к внешнему узлу. Компания BTCPay устранила эту проблему в версии 1.5.4 и позже наградила исследователя Антуана Пуансо вознаграждением в размере 5000 долларов.

Разница здесь очевидна: атака 2023 года представляла собой утечку информации, в то время как недавняя уязвимость связана с проблемами аутентификации, которые обходят защиту TOTP через API Greenfield.

Почему торговцам сейчас есть что терять?

Ситуация накаляется, поскольку Bitcoin становится все более ценным инструментом для платежей. Исследование компании River, опубликованное в феврале 2026 года, показало, что среднее Bitcoin использование продавцами увеличилось на 74% только в 2025 году, а использование Lightning выросло на 300% и превысило 1 миллиард долларов в месяц.

Окружающая инфраструктура также имеет большое значение. BuiltWith обнаружил 248 сайтов , использующих BTCPay Server, в том числе 74 активных, хотя эти цифры не включают частные или другие незаметные установки.

Кроме того, согласно последним данным от 1ML, в сети насчитывается 6280 узлов Lightning, 21221 канал и текущая пропускная способность сети в 2818,49 BTC.

Такой масштаб делает уязвимости в окружающей инфраструктуре еще более серьезными, даже если базовый уровень Bitcoin никак не пострадал.

Вывод из истории с BTCPay не означает, что сам Bitcoin несовершенен. Вместо этого он указывает на то, что предприятия, построенные на Bitcoin наследуют более широкую проблему безопасности. Блокчейн может по-прежнему функционировать, но приложения, используемые продавцами, могут стать точкой отказа.

Для операторов BTCPay приоритеты просты: обновить систему до версии 2.4.2, проанализировать журналы аутентификации и журналы доступа на предмет признаков компрометации и, по возможности, использовать специальные ключи API вместо базовой аутентификации.