Атака на BTCPay Server: проект попросил выключить серверы после краж из горячих кошельков, под ударом версии 2.4.1 и старше

Атака на BTCPay Server заставила проект в ночь на 2 ноября попросить всех владельцев серверов срочно их выключить: поступили сообщения, что неизвестные выметают биткоины из горячих кошельков торговцев. Позже команда сузила круг: под ударом старые версии 2.4.1 и ниже.

Что произошло

BTCPay Server — бесплатный открытый софт, через который магазины и сервисы принимают биткоин напрямую, без посредника. Каждый владелец ставит его на свой сервер и сам за него отвечает. Именно поэтому у проекта нет общего рубильника: выключить всё он не может и вынужден просить каждого оператора.

Сообщение в X было коротким: «Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay выметаются неавторизованными атакующими». Владельцам предложили выполнить команду ./btcpay-down.sh и держать сервер выключенным до конца расследования. Ни версий, ни исправления, ни суммы потерь в первом сообщении не было, и призыв касался всех версий подряд.

Примерно через два часа Николя Дорье уточнил: по всей видимости, речь о релизах старше 2.4.2. Собственные публичные серверы проекта на версии 2.4.7, по его словам, не атаковали. Позже, как пишет TokenPost, расследование нашло вектор атаки в версиях 2.4.1 и старше. Пострадавших просят прислать детали и логи на [email protected].

Почему горячий кошелёк — слабое место

Горячий кошелёк в BTCPay — это режим, при котором сид-фраза хранится прямо на сервере, подключённом к интернету. Сервер сам подписывает платежи, и владельцу не нужно подтверждать их на отдельном устройстве. Удобно, но в документации эта функция помечена словом «DANGER» и предупреждением о последствиях для безопасности.

Кто получил админский доступ к серверу с сидом, тот получил и деньги. Никакого второго ключа в этой схеме нет.

Для BTCPay это уже не первая неприятная история в 2026 году. В августе проект подтвердил кражу через уязвимость в версиях до 2.4.2: посторонний мог без авторизации забрать файлы учётных данных .macaroon от узла LND в сети Lightning и с ними управлять узлом и его деньгами. Тогда исправление вышло в версии 2.4.2, а ончейн-кошельки BTCPay, по заявлению проекта, не пострадали. Связаны ли нынешние кражи с той дырой, официально не сказано.

Атака на BTCPay Server: что делать владельцу

Если у тебя магазин или сервис на BTCPay, действуй по порядку:

1. Выключи сервер командой ./btcpay-down.sh, если он ещё работает на версии ниже 2.4.7, и не включай до обновления.
2. Проверь журнал входов администратора и список пользователей с правами админа. Незнакомая активность — повод считать сервер скомпрометированным.
3. Если на сервере был горячий кошелёк, после обновления не возвращай туда старую сид-фразу. Создай новый кошелёк на чистом устройстве и переведи остаток туда. Как правильно переехать, мы расписывали в гайде как сменить кошелёк после утечки ключа.
4. Если пользуешься LND, следуй августовскому бюллетеню: обнови узел и перевыпусти учётные данные .macaroon.
5. Держи на сервере только оборотную сумму, а выручку регулярно уводи на холодный кошелёк. Про выбор и настройку есть отдельный гайд по холодному кошельку.

Что это значит для тебя

Если ты просто платишь магазину биткоином через BTCPay, после отправки монеты принадлежат продавцу, и риск хранения ложится на него. Сам платёж из твоего кошелька этой атакой не затронут: речь о серверах, где продавец держит сид-фразу. Но есть косвенные последствия: часть магазинов может временно не принимать оплату, а мошенники наверняка попробуют сыграть на панике. Не переходи по ссылкам «срочно обновите кошелёк» из писем и личных сообщений, а нужные файлы бери только из официального репозитория проекта.

Важно и то, что эти кражи совпали по времени с последствиями кражи у Binance. Связи между ними никто не заявлял, но общий фон понятен: атакующие сейчас проверяют на прочность всё, где ключи лежат на подключённых к сети машинах.

FAQ

Какие версии BTCPay под угрозой? По последним данным проекта — 2.4.1 и старше. Для 2.4.7 достоверных сообщений о кражах нет.

Сколько украдено? Проект не назвал ни сумму, ни число пострадавших серверов.

Атака на BTCPay Server связана с августовской уязвимостью LND? Официально это не подтверждено. В августе страдали узлы LND, а сейчас речь о горячих кошельках с сидом на сервере.

Мне как покупателю что-то грозит? Напрямую нет: риск у владельца сервера, который хранит сид в горячем кошельке.

Вывод

Атака на BTCPay Server — напоминание, что самостоятельный хостинг не равен безопасности: если сид лежит на сервере, взлом админки означает потерю денег. Обновись, проверь доступы и уведи выручку с горячего кошелька. Первоисточники: бюллетень BTCPay по LND, CoinDesk и TokenPost о векторе атаки.

Материал не является инвестиционной рекомендацией. Крипта — высокий риск, решения принимаешь сам.