Angripare fick adminåtkomst till gamla BTCPay Server-versioner och tog allt från de varma plånböckerna, och spår visar på brister som fanns före en uppdatering i augusti.
Det är de operatörer som aldrig uppdaterade som drabbas, och laget har ännu inte berättat om de totala förlusterna. BTCPay Server är en kostnadsfri och öppen betallösning som handlare installerar själva för att ta emot bitcoin. Vid en varm plånbok lagrar servern privata nycklar, därför kan mjukvaran skicka pengar utan att operatören godkänner varje transaktion. Det betyder att alla med adminåtkomst kan flytta mynten.
Vilka versioner riktade angriparna in sig på?
BTCPay Server-teamet skickade ut en varning sent på 1 november. De bad alla operatörer att stänga sina servrar tills de hade utrett allt.
En uppdatering minskade sedan antalet drabbade versioner. Attacken riktas mot version 2,4,1, släppt 23 juli 2026, och allt äldre. Samtidigt säger laget att de inte har några säkra rapporter om attacker på den nuvarande versionen 2,4,7.
Grundaren Nicolas Dorier sa att angriparen loggade in som admin på de drabbade servrarna, men laget vet ännu inte hur. Hittills har de spårat sårbarheter som fanns före version 2,4,2.
Detta är minst andra gången på tre månader som någon stjäl pengar från BTCPay Server-instanser med äldre versioner än 2,4,2. Den utgåvan lappade en allvarlig brist i augusti, som gjorde att någon på distans kunde få tag på Lightning-nycklar och tömma plånböcker.
Redan då utnyttjade angripare buggen aktivt.
Är varm plånbok på BTCPay Server värt risken?
Hostingleverantörer agerade snabbt. LunaNode och andra kan ha stängt kunders servrar automatiskt för att stoppa attacker på äldre versioner, enligt laget.
Dorier kör själv version 2,4,7 med varm plånbok. Ändå varnar grundaren för att spara stora summor på någon server.
Spara inte mer än du är beredd att förlora i en varm plånbok. Vi kan inte garantera att det inte händer igen.
Nicolas Dorier, X
Händelsen liknar andra problem inom självhostad bitcoin-infrastruktur. Core Lightning varnade nyss att angripare attackerar ouppdaterade noder. Strukturen var samma här – lösningen fanns redan innan, men svagaste länken blev den operatör som aldrig uppdaterade sin BTCPay Server.
