BTCPay server, используемый компаниями для приема платежей в Bitcoin, столкнулся с сообщениями о несанкционированном выводе средств из горячих кошельков продавцов. Команда открытого проекта призвала операторов временно отключить свои инстансы, пока идет расследование.
BTCPay Server — бесплатное программное обеспечение с открытым исходным кодом. Его устанавливают на собственные серверы, чтобы принимать платежи в Bitcoin напрямую, без посредников и сторонних кастодианов. Такая модель дает бизнесу контроль над средствами, но одновременно перекладывает на владельца сервера ответственность за безопасность инфраструктуры.
Тревожное предупреждение появилось после жалоб на то, что злоумышленники получают контроль над горячими кошельками на отдельных BTCPay Server и выводят оттуда монеты. Проект не назвал ни сумму ущерба, ни число затронутых серверов.
Почему под угрозой оказались горячие кошельки
Ключевой риск связан с устройством горячего кошелька. Он находится на сервере конкретного продавца и остается подключенным к интернету. Для отправки средств используется сид-фраза — секрет, позволяющий подписывать транзакции. Если она хранится на сервере, программное обеспечение может самостоятельно подписывать и одобрять платежи.
В документации BTCPay Server указано, что система автоматически использует сид, сохраненный на сервере, для подписи платежа. Это удобно для повседневных операций: владельцу бизнеса не нужно каждый раз подтверждать перевод на отдельном устройстве. Но при компрометации сервера атакующий также получает возможность отправить монеты на свой адрес.
Функция подписи через горячий кошелек в документации помечена как опасная и сопровождается предупреждением о рисках безопасности.
Вторая особенность — децентрализованная модель работы. Каждый продавец запускает BTCPay Server на собственной инфраструктуре. Поэтому у проекта нет единого механизма, который позволил бы централизованно остановить все уязвимые инстансы. Команда может только попросить администраторов сделать это самостоятельно.
Что именно рекомендовала команда BTCPay Server
Мы получаем сообщения о том, что горячие кошельки на BTCPay Servers оказываются под контролем неавторизованных злоумышленников. Если вы управляете такой инстанцией, пожалуйста, остановите ее (./ ) до завершения расследования.
Команда попросила владельцев не запускать серверы обратно, пока проверка не будет закончена. Команда ./ останавливает работу программного обеспечения. В сообщениях также использовался термин swept: он означает, что монеты были выведены из кошелька одним платежом.
На момент предупреждения BTCPay Server не сообщил, какие именно версии затронуты, не объявил о готовом исправлении и не ограничил рекомендацию по остановке какой-либо одной веткой ПО.
Основатель проекта указал на старые версии
Примерно через два часа основатель BTCPay Николя Дорье уточнил, что сообщения о кражах, по всей видимости, относятся к версиям BTCPay Server старше 2.4.2. Иными словами, речь может идти о серверах, которые не были обновлены до 2.4.2 или более поздней версии.
При этом Дорье не заявил, что новые версии гарантированно безопасны. Он лишь отметил, что публичные серверы самого проекта, работающие на версии 2.4.7, не подверглись атакам.
По его словам, на скомпрометированных серверах злоумышленник входил в систему под учетной записью администратора. Такой аккаунт имеет максимальный уровень доступа. Как именно атакующему удалось получить эти права, команда пока не установила.
Контекст: предыдущий инцидент и общий фон
Это уже не первый тревожный эпизод для BTCPay Server в 2026 году. В августе проект подтвердил, что злоумышленники похитили средства через уязвимость в версиях до 2.4.2. Тогда проблема позволяла постороннему получить файлы учетных данных LND — программного обеспечения, управляющего узлом в Lightning, более быстрой платежной сети поверх Bitcoin.
Имея такие файлы, атакующий мог контролировать Lightning-узел и переводить находящиеся на нем средства. Эту уязвимость BTCPay Server исправил в версии 2.4.2.
Новый инцидент произошел вскоре после взлома Binance в четверг, когда злоумышленник вывел криптовалюту на сумму более 6 миллиардов долларов. Эта атака стала крупнейшей кражей в истории криптоиндустрии.
Новости о биткоин, блокчейне и криптовалютах
Автор: Сoinspot