Angripere fikk administrator-tilgang til utdaterte BTCPay Server-installer og tømte deres hot wallets, og spor peker mot svakheter som er eldre enn en oppdatering fra august.
Skaden rammer operatører som aldri har oppdatert, og teamet har ennå ikke oppgitt de samlede tapene. BTCPay Server er en gratis, åpen kildekode betalingsløsning som handelsfolk selv drifter for å ta imot Bitcoin. I en hot wallet-løsning lagrer serveren privatnøkler selv, noe som lar programvaren sende midler uten at operatøren signerer hver enkelt transaksjon. Som et resultat kan alle med administrator-tilgang til en slik server flytte myntene.
Hvilke versjoner gikk angriperne etter
BTCPay Server-teamet slo først alarm sent 1. november. De ba alle operatører stenge sine instanser inntil etterforskningen er ferdig.
En oppdatering snevret deretter inn omfanget. Angrepsvektoren retter seg mot versjon 2.4.1, utgitt 23. juli 2026, og alt eldre. Teamet sier samtidig at de ikke har troverdige meldinger om uttak på dagens 2.4.7-versjon.
Grunnlegger Nicolas Dorier sa at angriperen logget inn som administrator på de berørte serverne, selv om teamet ennå ikke har funnet ut hvordan. Så langt har etterforskningen funnet spor av sårbarheter som er eldre enn versjon 2.4.2.
Dette bruddet er minst andre gang på tre måneder at angripere har stjålet midler fra BTCPay Server-installer som kjører eldre versjoner enn 2.4.2. Den utgaven rettet en kritisk sårbarhet i august, som tillot eksterne angripere å hente Lightning node-legitimasjon og tømme tilkoblede lommebøker.
Allerede da var feilen under aktiv utnyttelse.
Er en BTCPay Server hot wallet verdt risikoen
Hosting-leverandører reagerte raskt. LunaNode og andre har ifølge teamet muligens automatisk stengt kunders instanser for å blokkere angrep mot eldre versjoner.
Dorier bruker selv versjon 2.4.7 med hot wallet. Likevel advarte grunnleggeren mot å oppbevare store beløp på noen server.
Ikke oppbevar mer enn du er villig til å tape i hot wallet. Vi kan ikke garantere at det ikke vil skje igjen.
Nicolas Dorier, X
Hendelsen passer inn i et bredere mønster for selvhostet Bitcoin-infrastruktur. Core Lightning advarte nylig om at angripere går etter upatchede noder. I begge tilfellene eksisterte en løsning før tyveriet, så det svakeste leddet var en operatør som installerte BTCPay Server én gang og aldri oppdaterte den.
