BTCPay Server предупредил о краже биткоинов из «горячих» кошельков

1 ноября 2026 года около 22:25 UTC в официальном аккаунте BTCPay Server появилось экстренное уведомление: на серверах BTCPay «горячие» кошельки опустошают посторонние. Операторам предписали остановить свои экземпляры командой ./btcpay-down.sh и ждать, пока специалисты не установят причину.

Разработчик проекта под ником Uncle Rockstar поддержал предупреждение фразой: «Это не учения: отключите свой BTCPay Server, если у вас есть «горячий» кошелёк».

BTCPay Server — программное обеспечение с открытым исходным кодом, которое позволяет продавцам принимать платежи в биткоинах (BTC) без посредников. Операторы ставят его на свою инфраструктуру и сами отвечают за кошельки. На 1 ноября разработчики не назвали ни сумму похищенного, ни число пострадавших продавцов, ни то, как злоумышленники получили доступ к системам.

Какие версии под ударом

Основатель BTCPay Server Николя Дорье дал более точное объяснение. По его предварительным выводам, на затронутых установках работало программное обеспечение версий старше 2.4.2. Злоумышленник входил в систему с правами администратора, а следы криминалистической экспертизы указывают на уязвимости этих старых версий. Как именно он получил доступ, команда ещё не выяснила. По более поздним сообщениям, под удар попали версии 2.4.1 и более ранние; сколько установок затронуто, по-прежнему неизвестно.

Публичные и демонстрационные серверы на версии 2.4.7, по словам Дорье, атакованы не были. Это снимает версию о том, что причиной кражи стал сам последний экстренный релиз, но не означает, что защищены все текущие установки: полного технического отчёта следователи пока не опубликовали.

В августе проект закрыл другую уязвимость, через которую посторонние получали учётные данные macaroon от Lightning Network Daemon (LND) — токены авторизации. Её исправили в версии 2.4.2, и разработчики тогда заявляли, что собственные ончейн-кошельки BTCPay от неё не страдают. Связаны ли ноябрьские кражи с той же дырой, с другой, более старой, или с несколькими сразу, неизвестно.

85 уязвимостей закрыли за три дня до предупреждения

29 октября BTCPay Server выпустил версию 2.4.7. Поводом стали отчёты об уязвимостях, найденных в рамках инициативы Anthropic по сканированию открытого исходного кода. В релизе закрыли 85 проблем: одну критическую, 13 высокой степени серьёзности, 52 средней и 19 низкой.

В 2026 году поиск уязвимостей с помощью ИИ распространился шире: системы от Anthropic, OpenAI и Google показывали всё более сложные возможности по поиску слабых мест в программном обеспечении. Только инициатива Anthropic за шесть месяцев выявила более 29 000 потенциальных уязвимостей, хотя вручную проверили лишь часть из них.

Случай с BTCPay показывает разницу между находкой уязвимости и защитой уже развёрнутой системы: публикация исправления не обновляет самостоятельно управляемые серверы автоматически. Хроника взломов с суммами ущерба пополняется по мере раскрытия деталей.

Продавцы отключают серверы

Компании, среди них Coincards, остановили установки BTCPay сразу после предупреждения. Для продавцов это выбор между приёмом платежей и сохранностью средств на подключённых кошельках. Дорье повторил, что остаток на «горячем» кошельке стоит держать в пределах суммы, потерю которой оператор переживёт.

Окончательной оценки убытков, отдельного патча под этот инцидент и снятия тревоги в обновлениях не было. Разработчики готовили более полное объяснение.