BTCPay Server propust ugrozio hot novčanike sa Bitcoinom i Litecoinom
BTCPay Server je upozorio korisnike da su napadači krali Bitcoin i Litecoin iz hot novčanika na instancama koje koriste verziju 2.4.1, objavljenu 23. jula 2026, ili starije izdanje. Organizacija navodi da su napadači primenili drugačiji način zloupotrebe ranjivosti koja je ispravljena verzijom 2.4.2 od 7. avgusta 2026.
BTCPay Server je samostalno hostovan softver otvorenog koda za obradu kripto-plaćanja. Korisnicima je preporučeno da pređu na najnovije izdanje 2.4.7, za koje nema verodostojnih prijava pražnjenja hot novčanika.
Stare instance zahtevaju potpun oporavak
Za sisteme na verziji 2.4.1 ili starijoj preporuka nije samo nadogradnja postojećeg okruženja. BTCPay Server savetuje prelazak na nov server i kreiranje novog novčanika, čak i kada korisnik nije primetio nestanak sredstava.
U slučaju krađe ili sumnje na neovlašćen pristup, celokupnu mašinu i sve tajne sačuvane na njoj treba smatrati kompromitovanim. To podrazumeva primenu istih postupaka oporavka kao posle potvrđenog incidenta, umesto oslanjanja samo na proveru stanja novčanika.
Rizik za LND kredencijale
BTCPay Server je u avgustu objavio da je kritična ranjivost iskorišćena za krađu sredstava pojedinih korisnika i da pogađa sve verzije proizvoda. Zakrpa je tada uvedena u verziji 2.4.2, ali nije potvrđeno da li je najnoviji niz napada povezan sa istim propustom.
Ranije upozorenje opisalo je mogućnost da neautentifikovani udaljeni napadač pribavi datoteke kredencijala sa ekstenzijom .macaroon za LND, implementaciju Lightning Network-a. Takvi kredencijali mogu omogućiti preuzimanje kontrole nad LND čvorom i premeštanje sredstava. U pregledanim napadima bili su ciljani samo fajlovi sa ovom ekstenzijom.
Operativne mere za hot novčanike
Početak aktuelne zloupotrebe nije poznat, a prijave su počele da se pojavljuju oko 1. novembra 2026. BTCPay Server je objavio i dve adrese novčanika povezane sa incidentima, jednu za Bitcoin i jednu za Litecoin, kako bi se olakšalo praćenje uplata vezanih za napade.
Za svakodnevno poslovanje praktična mera je ograničavanje iznosa na hot novčaniku na sredstva neophodna za tekuće operacije, dok ključeve za preostala sredstva treba držati van servera. Organizacije koje koriste hosting provajdera treba da provere i status instance, jer su neki provajderi automatski gasili starije verzije radi sprečavanja zloupotrebe.
Poslovni zaključak je da verziju BTCPay Server-a treba odmah proveriti, a svaku instancu 2.4.1 ili stariju tretirati kao osnov za migraciju na novo, ažurirano okruženje sa novim novčanikom i rotiranim tajnama.