Nakuha ng attackers ang admin access sa mga luma at hindi updated na BTCPay Server at winalis nila ang mga laman ng hot wallet. Mukhang may butas sa system na galing pa bago ang August patch.
Ang mga operator na hindi nag-update ang pinakanadamay dito, at hindi pa inaanunsyo ng team kung magkano ang kabuuang nalugi. Ang BTCPay Server ay isang free at open-source na payment processor na puwedeng gamitin ng merchants para tumanggap ng Bitcoin. Sa hot wallet setup, mismong server ang nagtatago ng private keys kaya puwedeng mag-send ng pondo ang software kahit hindi pa manu-manong napi-pirmahan ang bawat transaction ng operator. Dahil dito, kapag may admin access ka sa server na ganito, puwede mong galawin o ilipat ang coins nito kahit kailan.
Alin na BTCPay Server Versions ang Tinarget ng Attackers?
Unang nag-warning ang BTCPay Server team dito noong late November 1 at pinayuhan lahat ng operators na patayin muna ang servers nila habang ongoing pa ang imbestigasyon.
Nilinaw nila agad ang specifics pagkatapos. Yung attack mismo, tumatarget sa version 2.4.1 na nirelease pa noong July 23, 2026, at lahat ng mas luma pa. Sabi naman ng team, wala pa silang solid report na may nadali sa kasalukuyang version na 2.4.7.
Ayon kay founder Nicolas Dorier sa X, nag-log in bilang admin ang attacker sa mga apektadong servers, pero hindi pa rin klaro sa team kung paano ito nangyari. Sa ngayon, napansin ng investigation na yung mga vulnerabilities ay matagal na palang present bago pa ang version 2.4.2.
Ito na minimum ang pangalawang pagkakataon sa loob ng 3 buwan na may nanakawan ng funds sa mga BTCPay Server na gumagamit ng versions bago pa ang 2.4.2. Pinatch na ng version 2.4.2 ang critical flaw na ito noong August, na nagpapadali sana sa remote attacker na kunin ang Lightning node credentials at sunugin ang mga konektadong wallet.
Pero kahit noon pa, inaabuso na talaga ang bug na yun.
Sulit ba ang Panganib ng Pag-hot wallet gamit ang BTCPay Server?
Mabilis din umaksyon ang hosting providers. Halimbawa, LunaNode at iba pa, automatic nilang pinatay ang mga lumang customer instances para pigilan ang posibleng attack base sa report ng team.
Kahit si Dorier mismo ay gumagamit ng version 2.4.7 na may hot wallet, pero nagbabala siya na huwag mag-iwan ng malaking halaga sa kahit anong server.
Huwag mong ilalagay ang amount na hindi ka handang ma-loss sa hot wallet. Hindi namin kayang i-guarantee na hindi na mangyayari ulit ito.
Nicolas Dorier, X
Makikita mo na hindi lang ito nangyayari sa BTCPay Server pero pati sa iba pang self-hosted na Bitcoin setup. Nag-warning din kamakailan ang Core Lightning na tinarget ng attackers ang hindi updated na nodes. Sa parehas na sitwasyon, matagal ng available ang fix bago pa nanakawan, kaya pinaka-punto ng kahinaan dito yung operator na hindi nag-a-update ng BTCPay Server nila.
