O BTCPay Server informou que atacantes não autorizados estavam esvaziando carteiras quentes em algumas instâncias afetadas de processamento de pagamentos.
O vetor de ataque identificado tem como alvo a versão 2.4.1 e versões anteriores, enquanto não foram confirmados roubos entre usuários que executam a versão 2.4.7.
Os desenvolvedores pediram aos administradores de auto-hospedagem que desligassem temporariamente suas instâncias enquanto a investigação continua.
A equipe do BTCPay Server disse em 1º de novembro de 2026 que atacantes não autorizados estavam esvaziando carteiras quentes em algumas instâncias de processamento de pagamentos com criptomoedas. A investigação identificou um vetor de ataque que afeta a versão 2.4.1, datada de 23 de julho de 2026, e versões anteriores, levando os desenvolvedores a recomendar o desligamento temporário dos servidores.
Administradores são orientados a desligar instâncias
Em uma publicação no X, a equipe disse que estava recebendo relatos de carteiras quentes em instâncias do BTCPay Server sendo esvaziadas por atacantes não autorizados. Ela pediu a qualquer pessoa que opere uma instância que a desligasse com o comando ./btcpay-down.sh até a conclusão da investigação.
A equipe disse que não havia casos confirmados de fundos roubados das carteiras quentes de usuários que executam a versão 2.4.7 do BTCPay Server, a versão mais recente identificada em seu relatório. Os desenvolvedores enfatizaram a importância de manter o software atualizado.
Usuários afetados pelo ataque foram solicitados a enviar detalhes do incidente e registros do servidor para [email protected].
Instâncias operadas por provedores de hospedagem podem ter sido desligadas automaticamente para evitar a exploração da vulnerabilidade em versões desatualizadas. A equipe do BTCPay Server agradeceu à LunaNode e a outros provedores de hospedagem por responderem rapidamente após o primeiro relato do incidente.
Outros incidentes de segurança relatados
O incidente ocorreu após uma série de ataques de hackers contra o setor de criptomoedas no fim de outubro de 2026. A Binance sofreu o que a fonte descreveu como o maior hack da história do mercado de criptomoedas, com perdas estimadas em US$ 6,3 bilhões.
Separadamente, a equipe de segurança da Trezor recebeu um relato sobre um possível implante de hardware em uma carteira de criptomoedas Trezor Safe 5.
Fonte: HODL Press
