BTCPay Server призвал обновиться после краж из горячих кошельков
Разработчики BTCPay Server сообщили о кражах Bitcoin и Litecoin из горячих кошельков на инстансах платёжного процессора с версией 2.4.1, выпущенной 23 июля 2026 года, или более ранними релизами. Пользователям рекомендуют перейти на актуальную 2.4.7, а владельцам уязвимых инсталляций — развернуть новый сервер и создать новый кошелёк.
Атаки затронули старые версии
BTCPay Server — самостоятельное решение с открытым исходным кодом для приёма криптовалютных платежей. Расследование команды показало, что атакующие использовали другой метод эксплуатации уязвимости, которую исправили в версии 2.4.2 7 августа 2026 года.
Когда началась эксплуатация, пока неизвестно. Первые сообщения о подобных инцидентах появились примерно 1 ноября. В BTCPay Server заявили, что не получили достоверных сообщений об опустошении горячих кошельков у пользователей последнего релиза 2.4.7.
Эта версия устраняет одну критическую и несколько уязвимостей средней серьёзности, выявленных сканером открытого ПО Anthropic. Проект также опубликовал два адреса, связанных с инцидентами: Bitcoin bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 и Litecoin ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.
Почему одной установки обновления может быть мало
В августе BTCPay Server уже предупреждал, что критическая уязвимость была использована для хищения средств. Тогда проблема затрагивала все версии продукта, а исправление вошло в 2.4.2. Связь новой серии атак с тем же дефектом пока не подтверждена.
В августовском уведомлении говорилось, что неаутентифицированный удалённый атакующий мог получить файлы учётных данных LND с расширением .macaroon. Эти данные способны дать контроль над узлом Lightning Network и позволить перевести средства. В изученных атаках злоумышленники нацеливались именно на файлы .macaroon.
Что делать владельцам инстансов
BTCPay Server советует владельцам версий 2.4.1 и ниже переносить работу на чистый сервер с новым кошельком, даже если признаков кражи нет. При уже произошедшем хищении или подозрении на несанкционированный доступ следует считать скомпрометированными всю машину и все секреты, сохранённые на ней, и провести те же процедуры восстановления.
Для операционных платежей разработчики рекомендуют хранить на сервере только сумму, нужную для ежедневной работы, а ключи расходования основной части средств держать вне сервера. Клиентам хостинг-провайдеров стоит также проверить состояние инстанса: поставщик мог автоматически отключить старую версию, чтобы ограничить эксплуатацию уязвимости. Для бизнеса практический вывод прост: обновление должно сопровождаться сменой среды и кошелька, если использовалась уязвимая версия, а горячий баланс следует ограничивать объёмом текущих операций.