Взлом BTCPay Server: хакеры опустошают горячие кошельки на старых версиях

Злоумышленники опустошают горячие кошельки на BTCPay Server — открытом сервисе, через который магазины принимают биткоин. Поздно вечером в воскресенье, 1 ноября, команда проекта написала в X: «Мы получаем сообщения о том, что неизвестные выметают горячие кошельки на серверах BTCPay».

Всех, кто держит свой сервер, попросили выполнить команду ./btcpay-down.sh и не включать его до конца расследования, сообщает CoinDesk. Сколько украдено и сколько серверов пострадало, BTCPay не раскрывает.

Какие версии

Взлом BTCPay Server касается старых версий. В понедельник команда уточнила картину:

• под ударом версия 2.4.1, вышедшая 23 июля 2026 года, и всё, что старше;
• по актуальной 2.4.7 «нет достоверных сообщений об опустошении горячих кошельков»;
• публичные серверы самого проекта работают на 2.4.7, и, по словам сооснователя Николя Дориэра, их не атаковали.

Дориэр рассказал, что атакующий входил на пострадавшие серверы как администратор. Как он получил этот доступ, команда пока не знает, технических подробностей нет.

Часть хостингов, в том числе LunaNode, сама выключила клиентские серверы на старых версиях. Если ваш BTCPay стоит у хостера, он мог уже оказаться офлайн.

Почему горячий кошелёк уязвим

Горячий кошелёк в BTCPay хранит сид-фразу прямо на сервере, чтобы программа сама подписывала платежи. В документации BTCPay этот режим помечен словом «DANGER». Кто получил права администратора, тот может отправить монеты куда угодно.

Каждый магазин держит свой сервер, и команда не может выключить их удалённо.

Холодное хранение устроено иначе: ключи лежат на устройстве без выхода в интернет, и перевод подписывают вручную. Для возвратов покупателям это неудобно, поэтому часть денег магазины всё равно держат в горячем кошельке.

Второй раз с августа

В августе BTCPay закрыла другую уязвимость в версии 2.4.2. Через неё можно было без входа вытащить с сервера файлы доступа к LND и забрать управление Lightning-узлом магазина. Кражи тогда тоже подтвердились, и команда просила обновиться или выключиться.

По нашему подсчёту, серверы, которые опустошили в эти выходные, почти три месяца жили без того критического обновления. После 2.4.2 вышло ещё пять релизов.

Обе атаки ударили по тем, кто не обновлялся. Общая ли у них причина, BTCPay не говорит.

“Не кладите в горячий кошелёк больше, чем готовы потерять. Мы не можем гарантировать, что это не повторится.”

— Николя Дориэр, сооснователь BTCPay Server, в X · crypto.news

Что делать, если у вас BTCPay

• проверьте версию: на 2.4.1 и старше выключите сервер командой ./btcpay-down.sh;
• сохраните логи и отправьте данные о потерях на контакт безопасности BTCPay;
• держите в горячем кошельке только то, что нужно на возвраты и выплаты, остальное переведите в холодное хранение.

Атака случилась через три дня после взлома Binance, где целью тоже был горячий кошелёк, через систему подписи выводов. Как держать ключи подальше от машин в интернете, мы разбирали в материале о том, как защитить кошелёк.

Расследование продолжается, BTCPay пока не назвала причину и сумму потерь.