Криптовалютные платежи продолжали поступать в магазины, пока злоумышленники опустошали кошельки владельцев. Пользователи BTCPay Server столкнулись с кражей Bitcoin и Litecoin из серверных «горячих» кошельков. Компания Bitquery оценила объём подозрительных переводов примерно в $1,63 млн, однако разработчики платёжной системы пока не подтвердили итоговую сумму ущерба.
По расчётам Bitquery, с 30 октября по утро 2 ноября атакующие вывели 18,38 BTC и 3405 LTC через 682 операции опустошения кошельков. Около 87% выявленной суммы переместили за несколько часов 1 ноября. Число переводов не равно числу пострадавших магазинов, поскольку один кошелёк мог участвовать в нескольких операциях, а блокчейн не показывает количество взломанных серверов.
Разработчики BTCPay Server подтвердили атаки на установки версии 2.4.1 от 23 июля 2026 года и более ранние. Преступники воспользовались уязвимостью, которую закрыли ещё 7 августа в версии 2.4.2, но применили иной способ эксплуатации. Как именно атакующие получили административный доступ, в опубликованном разборе полностью не раскрывается.
BTCPay Server позволяет магазинам принимать криптовалюту напрямую, без платёжного посредника. При работе с «горячим» кошельком ключи для распоряжения средствами хранятся на самом сервере. Получив достаточные права, злоумышленник может отправить криптовалюту на сторонний адрес. При отдельном хранении ключей, в том числе на аппаратном устройстве, подобные переводы через взломанный сервер невозможны.
Первое сообщение о краже команда получила 1 ноября в 20:56 UTC, а в 22:25 попросила пользователей отключить серверы на время проверки. Разработчики связались с хостинг-провайдерами, в том числе LunaNode, после чего некоторые площадки превентивно остановили установки BTCPay Server. По подсчётам Bitquery, уже после предупреждения прошли ещё 267 операций на сумму около $150 тысяч.
К утру 2 ноября более 99% отслеженной Bitquery суммы оставалось на адресах, впервые задействованных во время кражи. Аналитики не обнаружили перевода средств на известные биржи. При этом команда BTCPay предупреждает, что история двух опубликованных адресов не позволяет достоверно определить общий ущерб или установить время начала эксплуатации уязвимости.
Отдельная опасность связана с ранее захваченными серверами. Даже после обновления посторонний доступ и раскрытые ключи могут сохраниться. Поэтому BTCPay рекомендует владельцам установок 2.4.1 и старше перевести остатки на новый кошелёк с новой сид-фразой, развернуть чистый сервер и сменить пароли, токены API и другие секреты. Один только переход на свежую версию проблему не решает.
В августе BTCPay уже сообщала о краже средств через доступ к учётным данным узлов Lightning Network. Нынешний инцидент затронул другие кошельки и показал риск длительной работы без исправлений. Аналогичные угрозы для подключённых к сети хранилищ проявились при взломе Gamdom в октябре. Для серверов, работавших на версии 2.4.2 или новее к 1 ноября, BTCPay последствий текущей атаки пока не обнаружила.
