BTCPay Server попередив про атаки на гарячі гаманці та радить вимкнути старі сервери
1 листопада 2026 року розробники BTCPay Server попередили про атаки на самостійно розгорнуті екземпляри, у яких зловмисники виводять кошти з гарячих гаманців. Під загрозою опиняються версії 2.4.1 і давніші, а адміністраторів просять призупинити роботу своїх серверів.
Що сталося з BTCPay Server
Розробники повідомили про проблему в публікації в акаунті @BtcpayServer від 1 листопада 2026 року. За їхніми словами, гарячі гаманці на серверах досліджуваного сервісу опустошують сторонні особи без дозволу.
Слідчі знайшли спосіб проникнення, який використовують проти серверів, де працює реліз 2.4.1 (випущений 23 липня 2026 року) або давніший.
Які версії під загрозою
Розробники розділили користувачів за версіями програмного забезпечення. Станом на момент публікації картина така:
| Версія | Статус |
|---|---|
| 2.4.1 і старіші | Вразливі до атаки |
| 2.4.7 (остання) | Підтверджених випадків викрадення коштів немає |
Що рекомендують розробники
Команда BTCPay Server дала адміністраторам кілька чітких вказівок:
- Зупинити роботу екземпляра через скрипт ./btcpay-down.sh і тримати його вимкненим, поки триває розслідування.
- Регулярно оновлювати програмне забезпечення до актуальної версії.
- Тим, кого атака зачепила, варто написати на security@btcpayserver.org і додати опис події та серверні логи.
Коли сервер орендовано у провайдера хостингу, хостер міг сам зупинити роботу екземпляра, аби унеможливити використання уразливості.
Тло: серія атак на криптоіндустрію у жовтні 2026 року
Атака на BTCPay Server відбулася на тлі хвилі хакерських інцидентів наприкінці жовтня 2026 року. Найбільшим із них стало викрадення з криптобіржі Binance на $6,3 млрд, яке стало найбільшим злом в історії крипторинку.
Окремо фахівці з безпеки Trezor зафіксували ймовірність апаратного імпланту в пристрої Trezor Safe 5.
Що це означає для адміністраторів серверів
Адміністраторам, які самостійно розміщують BTCPay Server, варто перевірити версію програмного забезпечення в першу чергу. Якщо сервер працює на версії 2.4.1 або старішій, ризик втрати коштів з гарячих гаманців є прямим, тому розробники радять призупинити роботу екземпляра до завершення розслідування.
Для користувачів версії 2.4.7 наразі не зафіксовано підтверджених випадків викрадення, тож оновлення до неї є головним практичним кроком, який прямо випливає з повідомлення.
Примітка редакції: У джерелі не вказано, скільки екземплярів уражено і яка сума викрадена з гарячих гаманців.
Примітка редакції: Дата публікації допису розробників — 1 листопада 2026 року, а стаття датована 2 листопада 2026 року.
Часті питання
Яка версія BTCPay Server вразлива?
Під ризик потрапляють сервери з версією 2.4.1 і старішими, зокрема ті, що працюють на релізі від 23 липня 2026 року. Станом на повідомлення розробників, жодного підтвердженого викрадення коштів у тих, хто має версію 2.4.7, не зафіксовано, тож остання збірка наразі не серед постраждалих.
Що радять робити адміністраторам BTCPay Server?
Розробники просять призупинити роботу власних серверів через скрипт ./btcpay-down.sh, поки триває розслідування. Окремо закликають вчасно ставити оновлення, а тим, хто зазнав атаки, пропонують написати на security@btcpayserver.org з описом подій і логами.
Чи можуть хостинг-провайдери вимкнути BTCPay Server?
Так, якщо сервер орендовано у хостера, той міг зупинити екземпляр без участі власника, щоб закрити шлях до експлуатації уразливості. Розробники подякували LunaNode та іншим провайдерам за швидку реакцію на перші повідомлення про інцидент.
Раніше ми писали
Джерела
