BTCPay Server просить вимкнути сервери: з гарячих гаманців викрадають біткоїни

Платіжний сервер BTCPay, через який магазини приймають біткоїни без посередників, опинився під атакою: невідомі виводили кошти з гарячих гаманців операторів. У понеділок команда проєкту назвала вектор атаки. Під удар потрапили інстанси версії 2.4.1 і старіші, а користувачі свіжого релізу 2.4.7 про втрати не повідомляли.

Що відомо про вразливі версії

Спершу BTCPay закликав операторів вимкнути сервери й опублікував інструкцію, як це зробити. Потім команда перевірила звіти про несанкціоновані виведення й звузила коло. За даними Cointelegraph, ризик стосується версій 2.4.1 і раніших, а 2.4.1 вийшла 23 липня 2026 року. Для релізу 2.4.7 достовірних повідомлень про зламані гаманці немає.

Масштаб поки невідомий. Проєкт не розкрив ні кількості постраждалих, ні суми викрадених коштів, ні механізму атаки. Тих, кого зачепило, просять надіслати логи команді безпеки.

Для ринку це незручна ситуація: ризик реальний, а виміряти його неможливо. Тому кожен оператор змушений діяти так, ніби його це стосується.

Чому першими це відчують продавці

BTCPay Server це програма з відкритим кодом, яку продавець ставить на власний сервер, щоб брати оплату в Bitcoin без платіжного посередника. Гаманець там гарячий, ключі лежать поруч із самим магазином. Якщо сервер зламано, зникає все, що встигло накопичитися.

Біржовий злам виглядає інакше. Після рекордної атаки на Binance на $6,3 млрд відтоки з біржі сягнули мільярдів доларів, і тема власного зберігання знову опинилась на слуху. Випадок із BTCPay нагадує, що воно не безкоштовне: безпека лягає на оператора, який мусить вчасно оновлювати програму.

Серія збоїв у самостійному зберіганні від липня

Це не перший удар за останні місяці. У серпні зловмисники скористалися вразливістю, дісталися доступів до вузла Lightning (LND) і вивели кошти, після чого BTCPay обмежив віддалений доступ до Lightning. Чи пов'язана нова атака з тією вразливістю, поки не зрозуміло.

У липні сталися крадіжки з пристроїв Coldcard приблизно на $100 млн. Помилка в прошивці призводила до того, що частина пристроїв створювала фрази відновлення з недостатньою випадковістю, і зловмисники відтворювали їх. Захистилися ті, хто додатково налаштував сильну парольну фразу.

У неділю Trezor збільшила максимальну довжину необов'язкової парольної фрази з 50 до 128 символів, посилаючись саме на історію з Coldcard. Новий ліміт працює в Trezor Suite з оновленою прошивкою, а старі версії лишаються на 50 символах. Двома днями раніше компанія радила клієнтам колишнього реселера CryptoBilis, які купували гаманці від березня, переносити кошти на нові пристрої. Покупець з Індонезії знайшов у Trezor Safe 5 підозрілий імплант, що міг знімати з екрана фрази відновлення й передавати їх через стільниковий зв'язок. Сам пристрій Trezor не перевіряла, а про збитки їй не повідомляли.

Що робити операторам і де лишаються ризики

Практичний мінімум зрозумілий, хоч і не гарантує нічого.

• Сервер на версії 2.4.1 або старішій слід вважати небезпечним, доки його не оновлено до 2.4.7.
• Якщо інстанс вимикали за порадою команди, перед повторним запуском варто оновитися й переглянути логи.
• Гарячий гаманець магазину не повинен накопичувати великий залишок, виручку краще регулярно переказувати в холодне сховище.
• Зв'язок із серпневою вразливістю LND поки не підтверджено й не спростовано, тож розраховувати лише на одне виправлення не можна.

Українським фрилансерам і продавцям, які беруть оплату в біткоїнах і одразу обмінюють біткоїн на гривню, це особливо корисно врахувати. Чим коротше кошти лежать на гарячому гаманці сервера, тим менше їх можна втратити.

Де закінчується простота власного зберігання

Платежі в біткоїнах тримаються на ідеї, що можна поставити сервер і брати гроші без посередника. Серія збоїв від липня показує, скільки обслуговування за цим стоїть. Поки BTCPay не опублікує технічні деталі, збитки оцінюватимуть здогадками.