Разработчики BTCPay Server сообщили о случаях вывода средств с горячих кошельков на устаревших установках платёжного процессора. Под угрозой оказались экземпляры версии 2.4.1 и старше: злоумышленники, по данным проекта, находили способ войти в систему с правами администратора. Для компаний, принимающих криптоплатежи напрямую, обновление BTCPay Server стало не плановой задачей для очередного окна обслуживания, а срочным вопросом сохранности денег.
Проект рекомендует немедленно перейти на версию 2.4.7, а серверы на 2.4.1 и более ранних сборках — отключить до обновления. Как сообщает BleepingComputer, первые обращения о кражах начали поступать вечером 1 ноября по UTC. На время расследования операторам также советовали остановить затронутые инстансы, чтобы не дать атакующим продолжить вывод средств.
BTCPay Server — это открытое решение для самостоятельного приёма Bitcoin и других цифровых активов. Оно формирует счета, проверяет платежи и поддерживает Lightning Network. В отличие от платёжных посредников, сервис разворачивается у самого бизнеса, а средства поступают в его кошельки. Эта модель помогает избежать комиссии платформы и зависимости от стороннего провайдера, но добавляет администратору знакомую цену самостоятельности: патчи, резервные копии, мониторинг и ответственность за ключи остаются на его стороне.
В расследовании команда BTCPay Server установила, что вектор атаки затрагивает версии, выпущенные не позднее 23 июля 2026 года — 2.4.1 и старше. Версия 2.4.2 вышла 7 августа. Основной вопрос для расследования — каким именно способом атакующие обходили защиту и получали административный доступ к старым инсталляциям. Основатель проекта Николя Дорье отдельно подчеркнул, что публичные серверы не были целью атак.
За несколько дней до сообщений о выводе средств, 29 октября, команда раскрыла критическую уязвимость, найденную сканером Frontier OSS от Anthropic, и выпустила экстренное обновление 2.4.7. Позднее появились признаки, что инциденты с кошельками связаны не только с этой находкой, а с уязвимостями в более старых версиях продукта. Проект заявляет, что у него нет достоверных сообщений о выводе средств у пользователей, установивших актуальную 2.4.7.
Это важная оговорка для тех, кто воспринимает self-hosted-платёжный шлюз как «поставил и забыл». Горячий кошелёк нужен, чтобы сервис мог оперативно обрабатывать входящие и исходящие операции. Но при компрометации административной учётной записи он превращается в наиболее удобную цель: атакующему не нужно взламывать блокчейн или подбирать сид-фразу, достаточно получить управление приложением, которому уже доверены операции с деньгами.
Для технических команд обновление BTCPay Server стоит совместить с проверкой следов компрометации. Нужны ревизия административных учётных записей, журналов входа и операций, проверка конфигурации кошельков и ограничение доступной на горячем кошельке суммы. Разумная схема для бизнеса — держать на нём только рабочий остаток, а основную сумму выводить в более защищённое хранилище по регламенту. Обновление закрывает известный риск, но не отменяет необходимость проверить, не успел ли кто-то воспользоваться старой версией раньше.
Пострадавшим пользователям BTCPay Server предлагает передать детали инцидента на адрес службы безопасности проекта и обратиться в правоохранительные органы. История хорошо иллюстрирует неприятную сторону инфраструктурной независимости: отказ от посредника убирает часть комиссий и ограничений, но не убирает эксплуатационную дисциплину. Для криптоплатежей скорость установки патчей теперь напрямую измеряется не только уровнем технического долга, но и суммой, лежащей в горячем кошельке.
