BTCPay Server — открытый процессинг платежей, который бизнес ставит у себя: он принимает биткоины и другие активы напрямую в кошелёк владельца, без посредников и комиссии платформы. Именно поэтому компрометация инстанса означает не утечку данных, а прямую потерю денег.
Сообщения о кражах начали приходить вечером 1 ноября по UTC. Проект отреагировал быстро: попросил провайдеров VPS на всякий случай отключить пострадавшие серверы и посоветовал операторам остановить инстансы до окончания разбирательства. Речь шла о несанкционированных платежах в биткоинах и лайткоинах.
Что нашли
В ходе разбора выяснилось, что вектор атаки нацелен на версии 2.4.1 (23 июля 2026 года) и старше. Основатель проекта Николя Дорье отметил, что атаковали не публичные серверы, а инстансы, где атакующий смог войти с правами администратора.
Контекст важен: 29 октября проект выпустил 2.4.7 как экстренное исправление критической уязвимости, найденной сканером Anthropic для открытого кода. Но, по словам Дорье, были признаки того, что атакующие использовали и более старые дыры, закрытые ещё в 2.4.2 от 7 августа. Позже проект это подтвердил.
Сейчас достоверных сообщений об опустошении кошельков на 2.4.7 нет. Тем не менее формулировка «обновитесь и проверьте, что версия действительно 2.4.7» здесь не формальность: если инстанс работал на старой ветке, безопаснее считать его скомпрометированным, сменить ключи доступа и проверить историю транзакций, а не только поставить обновление.
BTCPay Server is open-source payment processing that businesses host themselves: it accepts bitcoin and other assets directly into the owner’s wallet, with no intermediary and no platform fee. That is why a compromised instance means money lost, not just data exposed.
Reports of thefts began arriving on the evening of 1 November UTC. The project reacted quickly, asking VPS providers to take affected servers offline as a precaution and telling operators to shut their instances down pending the investigation. The complaints concerned unauthorised bitcoin and litecoin payments.
What was found
The investigation identified an attack vector targeting versions 2.4.1 (23 July 2026) and older. Founder Nicolas Dorier said the attacks did not target public servers, and that investigators focused on how the attacker was able to log in as an administrator.
Context matters here: on 29 October the project shipped 2.4.7 as an emergency fix for a critical vulnerability found by Anthropic’s open-source scanner. But Dorier said there were signs the attackers also used older holes fixed back in 2.4.2, released on 7 August. The project later confirmed that.
There are currently no credible reports of hot wallet drains on 2.4.7. Even so, “update and verify you are actually on 2.4.7” is not a formality: if an instance ran an older branch, it is safer to treat it as compromised, rotate access keys and review transaction history rather than just apply the update.