Il processore di pagamento Bitcoin BTCPay colpito da segnalazioni di furto di hot wallet

Avviso di Emergenza del BTCPay Server

Il BTCPay Server ha emesso un avviso di emergenza il 1° novembre 2026, dopo aver ricevuto segnalazioni di attacchi che stavano drenando bitcoin da hot wallet collegati a server di pagamento auto-ospitati. Il fondatore, Nicolas Dorier, ha collegato i compromessi segnalati a versioni precedenti alla 2.4.2, mentre ha indicato che i server pubblici che eseguono la versione 2.4.7 non erano stati attaccati.

Dettagli dell'Attacco

L'avviso è arrivato solo tre giorni dopo che un aggiornamento della sicurezza, assistito da intelligenza artificiale, ha affrontato 85 vulnerabilità, sollevando interrogativi sui rischi che affrontano gli operatori che ritardano gli aggiornamenti software. Alle 22:25 UTC del 1° novembre, l'account ufficiale di BTCPay Server ha pubblicato un avviso urgente:

"Stiamo ricevendo segnalazioni di hot wallet sui server BTCPay che vengono svuotati da attaccanti non autorizzati."

Gli operatori sono stati istruiti a spegnere le loro istanze utilizzando il comando ./btcpay-down.sh fino a quando gli investigatori non potessero stabilire cosa fosse successo. Il contributore principale, Uncle Rockstar Developer, ha rafforzato l'avviso, dichiarando:

"Non è un'esercitazione: spegnete il vostro BTCPay Server se avete un hot wallet."

Implicazioni per gli Operatori

BTCPay Server è un software open-source che consente ai commercianti di accettare pagamenti in bitcoin (BTC) senza fare affidamento su un intermediario di pagamento convenzionale. Gli operatori possono ospitare il software autonomamente e gestire la propria infrastruttura di wallet. Questa indipendenza comporta responsabilità.

Al momento della pubblicazione, gli sviluppatori non avevano rivelato né il totale di bitcoin rubati né il numero di commercianti colpiti. L'allerta iniziale non forniva nemmeno un resoconto confermato su come gli attaccanti fossero entrati per la prima volta nei sistemi compromessi.

Analisi delle Vulnerabilità

Il fondatore di BTCPay Server, Nicolas Dorier, ha successivamente offerto una spiegazione più specifica. Le sue scoperte preliminari indicavano che le distribuzioni colpite eseguivano software precedenti alla versione 2.4.2. Gli attaccanti avrebbero ottenuto accesso da amministratore, con tracce forensi che puntavano verso vulnerabilità presenti in quelle versioni più vecchie. Dorier ha anche indicato che i server pubblici e di dimostrazione che eseguono la versione 2.4.7 non erano stati attaccati.

Questa distinzione smorza la possibilità che l'ultima versione di emergenza abbia introdotto il compromesso segnalato. Tuttavia, non stabilisce che ogni installazione attuale sia immune, e gli investigatori devono ancora pubblicare un resoconto tecnico completo.

Contesto e Rischi Futuri

Il progetto aveva precedentemente affrontato una vulnerabilità separata in agosto che consentiva a attaccanti non autenticati di ottenere credenziali macaroon del Lightning Network Daemon (LND), che funzionano come token di autorizzazione. Quel difetto è stato corretto nella versione 2.4.2. Gli sviluppatori avevano precedentemente affermato che i wallet on-chain di BTCPay non erano stati esposti attraverso quella specifica vulnerabilità.

Non è stato stabilito in modo conclusivo se i furti più recenti coinvolgessero la stessa debolezza, un altro difetto più vecchio o altre vulnerabilità. Il tempismo aggiunge un ulteriore colpo di scena. Il 29 ottobre, BTCPay Server ha rilasciato la versione 2.4.7 dopo aver ricevuto segnalazioni di vulnerabilità generate attraverso l'iniziativa di scansione della sicurezza open-source di Anthropic.

Il rilascio ha affrontato 85 risultati, inclusi uno critico, 13 di alta gravità, 52 di gravità media e 19 di bassa gravità. Le divulgazioni sono arrivate in mezzo a una più ampia espansione della ricerca di vulnerabilità assistita da intelligenza artificiale nel 2026.

Conclusioni e Raccomandazioni

L'incidente di BTCPay illustra una distinzione critica tra la scoperta di vulnerabilità e la protezione del software distribuito. Pubblicare correzioni non aggiorna automaticamente i server operati in modo indipendente. Diverse aziende, tra cui Coincards, hanno messo offline le installazioni di BTCPay dopo l'avviso.

Per i commercianti, l'interruzione crea un immediato compromesso tra disponibilità dei pagamenti e protezione dei fondi accessibili tramite wallet collegati. Dorier ha ribadito l'importanza di limitare i saldi degli hot wallet a importi che gli operatori possono permettersi di perdere.

Non è stata annunciata alcuna stima definitiva delle perdite, nuova patch specifica per l'incidente o dichiarazione di sicurezza. Gli sviluppatori stavano preparando una spiegazione più completa. La domanda preoccupante si estende oltre BTCPay: mentre i sistemi AI accelerano la scoperta di vulnerabilità, può l'infrastruttura di pagamento operata in modo indipendente tenere il passo con le correzioni?