Разработчиците на платформата с отворен код BTCPay Server призоваха потребителите незабавно да актуализират инсталациите си до версия 2.4.7. Разследване установява атаки срещу по-стари версии, при които нападателите са получавали администраторски достъп и са източвали средства от т.нар. горещи портфейли.

Атаките засягат инсталации с версия 2.4.1 и по-стари

BTCPay Server е платформа за самостоятелно управление на плащания с криптовалути. Тя позволява на търговци и организации да приемат Bitcoin и други дигитални активи директно в собствените си портфейли, без да разчитат на посреднически платежни услуги и техните такси.

Системата обработва фактури, плащания и тяхното потвърждение, включително трансакции през Lightning Network.

В началото на седмицата екипът на проекта съобщи, че е установил вектор на атака срещу инсталации с версия 2.4.1, публикувана на 23 юли 2026 г., и по-стари издания. Потребителите бяха призовани да преминат към версия 2.4.7.

Първоначално администраторите бяха посъветвани да изключат сървърите си до изясняване на инцидента. Основното разследване е насочено към това как нападателите са успели да получат администраторски достъп до засегнатите инсталации.

Основателят на BTCPay Server Никола Дорие уточни, че атаките не са били насочени към публичните сървъри на платформата. Проектът съобщава, че няма достоверни данни за източени горещи портфейли при използване на актуалната версия 2.4.7.

Критична уязвимост е била открита и през октомври

На 29 октомври BTCPay Server съобщи за критична уязвимост, открита с помощта на инструмента Frontier OSS Scanner на Anthropic. Това доведе до спешното издаване на версия 2.4.7.

В хода на разследването обаче се появили индикации, че настоящите атаки използват слабости в издания отпреди версия 2.4.2. По-късно екипът потвърди, че установеният вектор на атака засяга версии 2.4.1 и по-стари.

Засега разработчиците не са посочили конкретната уязвимост, използвана при последните прониквания. Не е изяснено и дали тя съвпада с критичния проблем, обявен на 29 октомври.

Има и предишен инцидент, който показва риска от компрометиране на подобни инсталации. На 7 август, при публикуването на версия 2.4.2, BTCPay Server предупреди за активно експлоатирана уязвимост, позволяваща достъп до файлове с идентификационни данни на LND. Това е давало възможност на нападателите да поемат контрол над засегнатите Lightning възли и да откраднат средства.

Тази предходна уязвимост обаче не бива автоматично да се приема за причината за настоящите кражби.

Какво трябва да направят администраторите

BTCPay Server препоръчва на засегнатите потребители да предоставят подробности за инцидентите и регистрационните файлове на адрес security@btcpayserver.org.

Актуализацията до версия 2.4.7 може да бъде извършена от менюто Server Settings → Maintenance → Update.

При Docker инсталации администраторите трябва да влязат в сървъра чрез SSH, да получат административни права и да изпълнят следните команди:

sudo su -
cd btcpayserver-docker
./btcpay-update.sh

За системи с версия 2.4.1 или по-стара разработчиците препоръчват незабавно изключване от мрежата до предприемане на необходимите действия.

Случаят подчертава специфичния риск при самостоятелно хостваните платежни системи. Те дават на организациите по-голям контрол върху обработката на криптовалутни плащания, но същевременно прехвърлят върху операторите отговорността за поддръжката, актуализациите и защитата на административния достъп. Когато подобна система управлява горещ портфейл, компрометирането ѝ може да доведе не само до прекъсване на услугата, но и до директна загуба на финансови активи.