BTCPay Server призвал отключить серверы после хищений из горячих кошельков

Разработчики платежного сервиса BTCPay Server предупредили о хищениях из горячих кошельков на устаревших установках. В оповещении от 2 ноября 2026 года команда попросила операторов временно отключить серверы скриптом ./btcpay-down.sh до завершения расследования; изначально предупреждение касалось всех пользователей.

Позже круг сузили: уязвимость затрагивает версии 2.4.1 и старше, включая 2.4.1, выпущенную 23 июля 2026 года. По данным проекта, достоверных сообщений о хищениях, связанных с последней версией 2.4.7, нет, и операторов призвали обновляться.

Соучредитель BTCPay Server Николя Дорье уточнил, что публичные серверы проекта на 2.4.7 не атакованы, а пострадавшие установки, судя по отчетам, работали на версиях старше 2.4.2. Злоумышленник входил в систему с правами администратора, но как он их получил, еще выясняется. Сумму похищенного, число затронутых серверов и количество сообщивших о потерях проект не раскрыл, сославшись на продолжающееся расследование; пострадавших просят присылать данные и системные логи на security@btcpayserver.org.

Контекст

В августе BTCPay Server уже предупреждал об активно эксплуатируемой уязвимости: тогда злоумышленники получали LND administrator macaroon credentials и доступ к Lightning-кошелькам, но, по данным проекта, обычные ончейн-кошельки, включая горячие, задеты не были. За обнаружение той уязвимости проект обещал награду в 10% от возвращенных средств с потолком 3 BTC и выделил по 0,21 BTC разработчику Sparrow Wallet Крейгу Роу и фонду Bitcoin Red Team.

После нового предупреждения хостинг-провайдеры начали отключать старые установки автоматически; BTCPay Server поблагодарил LunaNode и других за быструю реакцию. Проект рекомендует держать в горячих кошельках минимум средств и переводить излишки в холодное хранение. В сентябре похожее предупреждение выпускала Core Lightning: атакующие целились в старые непатченные узлы. Сроков завершения расследования и сообщений о возврате средств пока нет.