BTCPay Server просит отключить серверы: с горячих кошельков крадут BTC

Команда BTCPay Server около 22:25 UTC 1 ноября (01:25 МСК 2 ноября) сообщила в X, что получает сообщения о выводе средств с горячих кошельков на серверах BTCPay неизвестными, и попросила владельцев выключить экземпляры командой ./btcpay-down.sh до конца расследования. Сумма ущерба и число пострадавших не названы.

Подробности

Основатель проекта Николас Дорье примерно через два часа уточнил, что случаи, по предварительным данным, связаны с версиями старше 2.4.2. По данным CoinDesk, у атакующих был доступ уровня администратора, но как они его получили, пока не установлено, и безопасность новых версий не подтверждена. ForkLog пишет о версиях 2.4.1 и старше.

Для серверов на версии 2.4.7 достоверных сообщений о краже средств, по данным Bitcoin.com News, пока нет. Версия 2.4.7 вышла 29 октября, ForkLog указывает, что она закрыла 85 уязвимостей, в том числе одну критическую. Похожая проблема в Lightning-части BTCPay использовалась атакующими в августе 2026 года.

Что это значит для рынка

BTCPay Server — самостоятельно размещаемый платёжный процессор с открытым кодом: торговцы держат ключи на своих серверах, а не у посредника. Инцидент затрагивает только тех, кто не обновил ПО, и не относится к сети Биткоина. Операторам стоит следить за выводами проекта и обновиться, когда расследование закончится. Актуальная цена биткоина — в сводке дня, на странице Bitcoin.

Не инвестиционный совет.