BTCPay Server просит отключить серверы: с горячих кошельков крадут биткоины

Платёжный сервер BTCPay, через который магазины принимают биткоины без посредников, оказался под атакой: неизвестные выводили средства с горячих кошельков операторов. В понедельник команда проекта назвала вектор атаки. Под удар попали инстансы версии 2.4.1 и старше, а пользователи свежего релиза 2.4.7 о потерях не сообщали.

Что известно об уязвимых версиях

Сначала BTCPay призвал операторов отключить серверы и опубликовал инструкцию, как это сделать. Затем команда проверила сообщения о несанкционированных выводах и сузила круг. По данным Cointelegraph, риск касается версий 2.4.1 и более ранних, а 2.4.1 вышла 23 июля 2026 года. Для релиза 2.4.7 достоверных сообщений о взломанных кошельках нет.

Масштаб пока неизвестен. Проект не раскрыл ни число пострадавших, ни сумму украденных средств, ни механизм атаки. Тех, кого задело, просят прислать логи команде безопасности.

Для рынка это неудобная ситуация: риск реален, а измерить его невозможно. Поэтому каждый оператор вынужден действовать так, будто его это касается.

Почему первыми это почувствуют продавцы

BTCPay Server это программа с открытым кодом, которую продавец ставит на собственный сервер, чтобы принимать оплату в Bitcoin без платёжного посредника. Кошелёк там горячий, ключи лежат рядом с самим магазином. Если сервер взломан, исчезает всё, что успело накопиться.

Биржевой взлом выглядит иначе. После рекордной атаки на Binance на $6,3 млрд оттоки с биржи достигли миллиардов долларов, и тема собственного хранения снова на слуху. Случай с BTCPay напоминает, что оно небесплатно: безопасность ложится на оператора, который обязан вовремя обновлять программу.

Серия сбоев в самостоятельном хранении с июля

Это не первый удар за последние месяцы. В августе злоумышленники воспользовались уязвимостью, получили доступы к узлу Lightning (LND) и вывели средства, после чего BTCPay ограничил удалённый доступ к Lightning. Связана ли новая атака с той уязвимостью, пока непонятно.

В июле случились кражи с устройств Coldcard примерно на $100 млн. Ошибка в прошивке приводила к тому, что часть устройств создавала фразы восстановления с недостаточной случайностью, и злоумышленники воспроизводили их. Уберегли себя те, кто дополнительно настроил сильную парольную фразу.

В воскресенье Trezor увеличила максимальную длину необязательной парольной фразы с 50 до 128 символов, сославшись именно на историю с Coldcard. Новый лимит работает в Trezor Suite с обновлённой прошивкой, а старые версии остаются на 50 символах. Двумя днями раньше компания советовала клиентам бывшего реселлера CryptoBilis, покупавшим кошельки с марта, переносить средства на новые устройства. Покупатель из Индонезии нашёл в Trezor Safe 5 подозрительный имплант, который мог считывать с экрана фразы восстановления и передавать их по сотовой связи. Само устройство Trezor не проверяла, а о потерях ей не сообщали.

Что делать операторам и где остаются риски

Практический минимум понятен, хотя и ничего не гарантирует.

• Сервер на версии 2.4.1 или старше следует считать опасным, пока его не обновят до 2.4.7.
• Если инстанс отключали по совету команды, перед повторным запуском стоит обновиться и просмотреть логи.
• Горячий кошелёк магазина не должен копить крупный остаток, выручку лучше регулярно переводить в холодное хранилище.
• Связь с августовской уязвимостью LND пока не подтверждена и не опровергнута, поэтому рассчитывать только на одно исправление нельзя.

Украинским фрилансерам и продавцам, которые берут оплату в биткоинах и сразу обменивают биткоин на гривну, это особенно полезно учесть. Чем короче средства лежат на горячем кошельке сервера, тем меньше их можно потерять.

Где заканчивается простота собственного хранения

Платежи в биткоинах держатся на идее, что можно поставить сервер и брать деньги без посредника. Серия сбоев с июля показывает, сколько обслуживания за этим стоит. Пока BTCPay не опубликует технические детали, ущерб будут оценивать догадками.