Основатель BTCPay связал операции по выводу средств с горячих кошельков с входом администраторов на серверах версий старше 2.4.2

Опустошение горячих кошельков, зафиксированное в воскресенье, вероятно, связано с серверами, работающими на версиях старше 2.4.2, сказал Николя Дорье, основатель BTCPay Server.

Злоумышленник вошёл в систему как администратор на этих экземплярах, и команда всё ещё выясняет, как это произошло.

Расследование определяет вектор атаки на релизы версии 2.4.1 или более ранние

BTCPay отправил оповещение в 5:25 вечера по восточному времени в воскресенье. В нём рекомендовалось всем, кто запускает собственный экземпляр, остановить его с помощью ./btcpay-down.sh до завершения расследования.

Дориер опубликовал сообщение примерно через 2 часа. По его словам, публичные серверы BTCPay под управлением версии 2.4.7 не подверглись атаке.

Позже Дорье заявил, что у команды есть следы, указывающие на то, что «уязвимости, существовавшие до версии 2.4.2, были использованы».

В обновлении от 23:07 по восточному времени круг подозреваемых сузился. Расследование выявило вектор атаки, направленный на экземпляры, работающие на версии 2.4.1, выпущенной 23 июля или более ранних версиях.

Проект сообщил об «отсутствии достоверных сообщений о выводе средств с горячих кошельков» пользователей на версии 2.4.7, выпущенной 29 октября. Компания рекомендовала операторам поддерживать программное обеспечение в актуальном состоянии и просила пострадавших направлять детали инцидентов и логи в свою службу безопасности.

Некоторые хостинг-провайдеры могли автоматически остановить работу экземпляров, чтобы предотвратить эксплуатацию старых версий. BTCPay выразил благодарность LunaNode и другим за оперативные действия.

Операторы, которые хотя бы раз обновились после выхода версии 2.4.2, «не должны паниковать», — заявил Дорье . Он также предостерёг пользователей не хранить слишком много средств в горячем кошельке, пообещав опубликовать подробную статью в блоге.

Воскресные атаки затронули средства, которые ранее были признаны безопасными согласно августовскому уведомлению

Поскольку BTCPay является самохостинговым решением, проект не может изменить сервер мерчанта или принудительно его остановить. Его режим горячего кошелька подписывает платежи с использованием seed-фразы, хранящейся на этом сервере, что означает: тот, кто контролирует сервер, может перемещать монеты.

Линейка 2.4.2 появилась ещё в августе. BTCPay выпустила версию 2.4.2 7 августа, чтобы устранить критическую уязвимость, которая уже подвергалась атакам, сообщила Cryptopolitan.

Каждый предыдущий релиз, включая кандидаты в релизы версии 2.4.2, позволял неподтвержденному злоумышленнику украсть учетные данные macaroon для LND. Атакующий мог захватить узел Lightning и использовать его для перевода средств.

Фонд и Citadel21 сообщили об атаках на свои узлы Lightning. Крейг Роу, разработчик Sparrow Wallet, также подтвердил факт взлома.

С выходом версии 2.4.2 токены macaroon для LND стали автоматически перегенерироваться. Когда операторы открывали доступ к LND через собственный прокси, сервис Tor или проброшенный порт, им приходилось вручную изменять эти учетные данные.

Версия 2.4.2 также устранила отдельную уязвимость обхода двухфакторной аутентификации TOTP через базовую аутентификацию Greenfield API, о которой сообщалось 4 августа. В BTCPay заявили, что эта ошибка не связана с кражей macaroon.

В предупреждении BTCPay указало, что её собственные кошельки на цепочке, включая горячие кошельки, не пострадали от этой ошибки. В воскресенье сообщалось, что горячие кошельки опустошались.

Ни BTCPay, ни Дорье не сообщили, использовал ли злоумышленник августовскую уязвимость macaroon или какую-то другую уязвимость до версии 2.4.2. В августе спонсоры предложили вознаграждение в размере 10% от возвращённых средств, но не более 3 BTC.

River сообщил, что среднее использование биткоина купцами выросло на 74% в 2025 году, при этом объём транзакций через Lightning превысил 1 миллиард долларов в месяц.