BTCPay Server предупредил о кражах с горячих кошельков на версиях до 2.4.1
Разработчики платёжной системы BTCPay Server рекомендовали владельцам серверов временно их отключить после сообщений о несанкционированном выводе средств с горячих кошельков. Уязвимость затрагивает версии 2.4.1 и более ранние, а последняя версия 2.4.7 по данным проекта не связана с кражами.
Главное в цифрах
- Затронутые версии: 2.4.1 и ранее
- Дата выхода версии 2.4.1: 23 июля 2026 года
- Актуальная версия без сообщений о кражах: 2.4.7
Проект выявил вектор атаки, который затрагивает инстансы с версией 2.4.1 и ранее. Версия 2.4.1 вышла 23 июля 2026 года. Сначала команда призывала операторов остановить серверы на время расследования и опубликовала инструкции для этого.
По состоянию на публикацию BTCPay не раскрывает число пострадавших операторов, сумму похищенного и технические детали того, как злоумышленники получили доступ к кошелькам. Пострадавших просят передать информацию и логи своей службе безопасности.
Пользователям последней версии 2.4.7 отчёты о кражах по данным проекта не поступали, и команда просит всех обновить установки.
Связь с августовской атакой
Инцидент напоминает о событиях августа. Тогда BTCPay ограничил удалённый доступ к Lightning после атаки, которая использовала уязвимость для получения учётных данных Lightning Network Daemon (LND) и кражи средств. Связаны ли две атаки, пока неясно.
Для операторов платёжных сервисов на биткоине это срочное напоминание о необходимости обновить ПО. Cointelegraph направил запрос в BTCPay Server, но ответа до публикации не получил.
