Криптовалютный процессор Btcpay предупреждает о краже биткойнов из горячих кошельков

Экстренное предупреждение от Btcpay

Сервер Btcpay выпустил экстренное предупреждение о необходимости остановки работы 1 ноября 2026 года после сообщений о том, что злоумышленники выводят биткойны из горячих кошельков, подключенных к саморазмещенным платежным серверам. Основатель проекта, Николас Дориер, связал эти инциденты с версиями программного обеспечения, предшествующими 2.4.2, отметив, что публичные серверы, работающие на версии 2.4.7, не подвергались атакам.

Рекомендации для операторов

Предупреждение было опубликовано всего через три дня после того, как с помощью ИИ была проведена переработка безопасности, устраняющая 85 уязвимостей, что поднимает вопросы о рисках, с которыми сталкиваются операторы, откладывающие обновления программного обеспечения. В 22:25 UTC 1 ноября официальный аккаунт Btcpay Server опубликовал срочное уведомление:

"Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay подвергаются атакам со стороны злоумышленников."

Операторам было рекомендовано отключить свои инстансы с помощью команды ./btcpay-down.sh до выяснения обстоятельств.

Подтверждение угрозы

Основной участник проекта, Uncle Rockstar Developer, подтвердил предупреждение, заявив:

"Это не учения: отключите свой сервер BTCPay, если у вас есть горячий кошелек."

Btcpay Server — это программное обеспечение с открытым исходным кодом, позволяющее торговцам принимать биткойн (BTC) платежи без необходимости полагаться на традиционных платежных посредников. Операторы могут размещать программное обеспечение самостоятельно и управлять своей собственной инфраструктурой кошельков, что влечет за собой определенные риски.

Неизвестные потери и уязвимости

На момент публикации разработчики не раскрыли ни общую сумму украденного биткойна, ни количество пострадавших торговцев. Первоначальное предупреждение также не предоставило подтвержденной информации о том, как злоумышленники получили доступ к скомпрометированным системам. Основатель Btcpay Server Николас Дориер впоследствии предложил более конкретное объяснение. Его предварительные выводы показали, что затронутые развертывания использовали программное обеспечение, предшествующее версии 2.4.2.

Сообщается, что злоумышленники получили доступ к учетным записям администраторов, а судебно-экспертные следы указывают на уязвимости, присутствующие в этих старых версиях. Дориер также отметил, что публичные и демонстрационные серверы, работающие на версии 2.4.7, не подвергались атакам. Это различие ставит под сомнение возможность того, что последнее экстренное обновление само по себе привело к сообщенной компрометации.

История уязвимостей

Проект ранее устранил отдельную уязвимость в августе, которая позволяла неаутентифицированным злоумышленникам получать учетные данные macaroon для Lightning Network Daemon (LND), функционирующие как токены авторизации. Этот недостаток был исправлен в версии 2.4.2. Разработчики ранее заявляли, что собственные ончейн-кошельки Btcpay не были подвержены этой конкретной уязвимости.

Не установлено, связаны ли последние кражи с той же уязвимостью, другой старой ошибкой или несколькими недостатками. Тайминг добавляет еще один поворот: 29 октября Btcpay Server выпустил версию 2.4.7 после получения отчетов о уязвимостях, сгенерированных через инициативу по сканированию безопасности с открытым исходным кодом от Anthropic.

Заключение

Инцидент с Btcpay иллюстрирует критическое различие между обнаружением уязвимостей и защитой развернутого программного обеспечения. Публикация исправлений не обновляет автоматически независимо управляемые серверы. Бизнесы, включая Coincards, отключили установки Btcpay после предупреждения. Для торговцев прерывание создает немедленный компромисс между доступностью платежей и защитой средств, доступных через подключенные кошельки.

Дориер повторил важность ограничения балансов горячих кошельков до сумм, которые операторы могут позволить себе потерять. На момент публикации не было объявлено ни о окончательной оценке потерь, ни о новом патче, специфичном для инцидента, ни о сигнале о том, что все в порядке. Разработчики готовили более полное объяснение.

Тревожный вопрос выходит за рамки Btcpay: могут ли независимо управляемые платежные инфраструктуры успевать за исправлениями, когда системы ИИ ускоряют обнаружение уязвимостей?