BTCPay просит выключить серверы до конца расследования
Предупреждение вышло в аккаунте проекта в X 1 ноября в 17:25 по времени Восточного побережья США, то есть в 22:25 UTC. Команда написала, что получает сообщения о краже средств с горячих кошельков, и попросила операторов запустить скрипт ./btcpay-down.sh. Серверы должны оставаться выключенными, пока проект не закончит расследование.
BTCPay Server — бесплатный процессинг Биткоин-платежей с открытым кодом. Через него магазины и сервисы принимают оплату без посредника. Кастодиана здесь нет: каждый мерчант сам разворачивает программу на своём сервере или у хостинг-провайдера. Поэтому централизованно остановить все экземпляры проект не может, и выключать сервер приходится каждому владельцу.
Часть работы взяли на себя хостинги. По словам самого проекта, некоторые провайдеры, включая LunaNode, сами отключили инстансы на старых версиях, чтобы через них больше нельзя было проводить атаки. Клиентам управляемого хостинга стоит быть готовыми к тому, что их сервер уже выключен.
Под ударом версии 2.4.1 и старше
Первое предупреждение касалось всех установок, независимо от версии. Позже круг сузили. Основатель BTCPay Server Николя Дорье заявил, что кражи, судя по всему, затрагивают релизы старше 2.4.2. По его словам, атакующий получал на взломанных машинах права администратора, а вместе с ними полный контроль над кошельками.
Заходите в наш Telegram-чат 2Bitcoins, если хотите обсудить новость с другими читателями.
Но здесь есть оговорка. The Defiant, ссылаясь на исходное предупреждение, отмечает, что в нём не было ни списка уязвимых версий, ни патча. Сам проект масштаб потерь не подтверждал. Так что привязку к версии 2.4.1 и старше лучше считать предварительной, пока не вышел полный разбор инцидента.
Горячий кошелёк хранит seed прямо на сервере
Угроза касается именно горячих кошельков. В таком режиме seed-фраза лежит на подключённом к интернету сервере, и BTCPay сам подписывает исходящие платежи: возвраты, выплаты, переводы. Это удобно, но тот, кто получил админский доступ к серверу, может отправлять монеты так же, как владелец. Документация BTCPay сама помечает эту функцию как опасную.
Следите за новостями в нашем Telegram-канале 2Bitcoins.
Магазины, которые принимают платежи на кошелёк в режиме watch-only, устроены иначе. Ключи для подписи у них вообще не хранятся на сервере, а все известные пока кражи касаются только горячих кошельков. Проект и раньше советовал не держать на горячих кошельках больших сумм. Похожая история уже была с уязвимостью кошелька Trust Wallet: удобство автоматической подписи снова оборачивается риском для денег.
Металлическое устройство на деревянном столе рядом с ноутбуком
Если есть подозрение, что сервер взломан, лежащие на нём ключи больше использовать нельзя. Средства, которые остались в горячем кошельке на скомпрометированной машине, нужно считать находящимися под угрозой, пока не найдена причина взлома.
Мужчина за двумя мониторами с красной схемой сети
Второй инцидент за три месяца после августовской атаки на LND
Менее трёх месяцев назад у BTCPay уже был инцидент безопасности. В августе атакующие украли средства у пользователей LND — софта для нод Lightning Network. Тогда проект уверял, что его собственные ончейн-кошельки, в том числе горячие, не пострадали. Под угрозой оставались только средства в ончейн-кошельке самого LND.
Сейчас цель другая: ончейн-кошельки внутри самого BTCPay Server, а не Lightning-инфраструктура вокруг него. Получается, что за короткое время проблемы нашлись в двух разных частях стека, на котором многие мерчанты принимают Биткоин без посредников. Для индустрии это очередное напоминание, что даже открытый софт, который годами проверяют сотни людей, может годами прятать дыры. Про такие случаи мы уже писали в материале о том, как этичные хакеры нашли уязвимость, грозившую миллиардам долларов.
Потери, число жертв и сроки патча пока не раскрыты
BTCPay не сообщил, сколько серверов пострадало, сколько Биткоинов вывели и как именно атакующие получили доступ. Технические подробности и сроки исправления тоже неизвестны. Большинство изданий пересказывают одно и то же: призыв к отключению и уточнение про старые версии.
Для мерчантов это означает простой прямо сейчас. Кто выполнил инструкцию, тот не принимает платежи, пока сервер выключен. Дальше бизнесу придётся выбирать: вернуться к горячим кошелькам после выхода исправления или перенести ключи для подписи на аппаратные устройства, недоступные из интернета. На общий крипторынок история пока не влияет: речь о частных серверах мерчантов, а не о бирже или крупном кастодиане.
Читайте также: Отчёт 2Miners за октябрь 2026: новая монета Quantus, снижение награды Kaspa и обновления безопасности нод
Теперь главное - отчёт BTCPay о причинах взлома и официальный список уязвимых версий. Когда выйдет патч и станет понятен масштаб потерь, станет ясно, насколько безопасно возвращаться к автоматическим выплатам.
ПОДПИСЫВАЙТЕСЬ НА НАШ КАНАЛ В ТЕЛЕГРАМЕ, ЧТОБЫ БЫТЬ В КУРСЕ.
