BTCPay Server, la piattaforma di pagamento in Bitcoin, ha chiesto agli operatori di spegnere i propri server dopo aver ricevuto segnalazioni di hot wallet svuotati da attaccanti. Lunedì il progetto ha dichiarato che il vettore d'attacco individuato colpisce le istanze con la versione 2.4.1 o precedente.
Cosa ha detto BTCPay Server
In un primo avviso, il progetto ha chiesto agli operatori di spegnere le istanze dei propri server mentre indagava sulle segnalazioni di prelievi non autorizzati dai wallet. BTCPay ha anche condiviso le istruzioni per mettere i server offline.
Lunedì, in un aggiornamento, BTCPay ha spiegato che l'indagine ha individuato un vettore d'attacco contro le istanze con la versione 2.4.1 o precedente. La versione 2.4.1 è stata rilasciata il 23 luglio 2026.
Il progetto ha detto di non aver ricevuto segnalazioni credibili di hot wallet svuotati da utenti che usano l'ultima release, la 2.4.7, e ha invitato gli operatori ad aggiornare le installazioni.
Quali versioni sono colpite
Versione di BTCPay Server | Cosa dice BTCPay |
|---|---|
2.4.1 o precedente | Colpita dal vettore d'attacco individuato |
2.4.7 (ultima) | Nessuna segnalazione credibile di svuotamenti |
L'unica raccomandazione esplicita del progetto è aggiornare alla 2.4.7. BTCPay non ha annunciato una correzione separata da questo aggiornamento e non ha descritto pubblicamente come funziona l'attacco.
Cosa fare se usi BTCPay
- Spegni il server, come indicato nel primo avviso, se usi la versione 2.4.1 o precedente
- Aggiorna l'installazione alla 2.4.7, la release per cui BTCPay non ha segnalazioni credibili di svuotamenti
- Se sei stato colpito, invia informazioni e log al team di sicurezza di BTCPay
Cosa non si sa ancora
BTCPay non ha ancora reso noti tre dettagli chiave sull'incidente:
- Il numero di operatori colpiti
- Il valore dei fondi rubati
- I dettagli tecnici su come gli attaccanti hanno ottenuto l'accesso ai wallet
L'incidente arriva a meno di tre mesi da quando BTCPay ha limitato l'accesso remoto a Lightning dopo un attacco di agosto. Quell'attacco sfruttava una vulnerabilità per ottenere le credenziali di Lightning Network Daemon (LND) e rubare fondi.
Non è chiaro se il nuovo vettore d'attacco sia collegato alla vulnerabilità di agosto.