Angribere fik administratoradgang til forældede BTCPay Server-instanser og tømte deres hot wallets. Sporene peger på fejl, der går forud for en opdatering i august.
Skaden rammer operatører, der aldrig opdaterede, og teamet har endnu ikke oplyst det samlede tab. BTCPay Server er en gratis, open source betalingsløsning, som butikker selv hoster til at tage imod Bitcoin. I en hot wallet-opsætning opbevarer serveren selv de private nøgler, hvilket lader softwaren sende midler uden, at operatøren skal godkende hver transaktion. Derfor giver administratoradgang mulighed for at flytte alle coins på serveren.
Hvilke versioner gik angriberne efter?
BTCPay Server-teamet slog først alarm sent d. 1. november. Alle operatører blev opfordret til at slukke for deres instans indtil undersøgelsen er afsluttet.
En opdatering indsnævrede derefter omfanget. Angrebet retter sig mod version 2.4.1, udgivet 23. juli 2026, og ældre versioner. Holdet melder samtidig, at der ikke er troværdige rapporter om tab på den nuværende 2.4.7-udgave.
Stifter Nicolas Dorier udtalte, at angriberen loggede ind som administrator på de ramte servere, men teamet har endnu ikke klarlagt hvordan. Indtil videre har undersøgelsen fundet spor af sårbarheder, der fandtes før version 2.4.2.
Bruddet markerer mindst anden gang på tre måneder, at der er stjålet midler fra BTCPay Server-instanser, som kører versioner ældre end 2.4.2. Den version lukkede et kritisk hul i august, hvor fjernangribere kunne stjæle Lightning node-oplysninger og tømme tilknyttede wallets.
Allerede på det tidspunkt var fejlen allerede under aktiv udnyttelse.
Er en BTCPay Server hot wallet risikoen værd?
Hostingudbydere reagerede også hurtigt. Ifølge teamet kan LunaNode og andre have deaktiveret kunders instanser automatisk for at blokere angreb mod gamle versioner.
Dorier bruger selv version 2.4.7 med hot wallet. Alligevel advarede stifteren om ikke at opbevare store beløb på nogen server.
Læg ikke mere i din hot wallet, end du er villig til at miste. Vi kan ikke garantere, det ikke sker igen.
Nicolas Dorier, X
Hændelsen passer ind i et bredere mønster omkring selv-hostede Bitcoin-løsninger. Core Lightning har for nylig advaret om, at angribere retter sig mod ikke-opdaterede noder. I begge tilfælde fandtes løsningen før tyverierne, så det svageste led var en operatør, der installerede en BTCPay Server-instans og aldrig opdaterede den.
