Gli attaccanti hanno ottenuto l'accesso da amministratore su alcune vecchie istanze di BTCPay Server e hanno svuotato i relativi hot wallet, e le tracce fanno pensare a falle precedenti a una patch rilasciata ad agosto.
I danni ricadono sugli operatori che non hanno mai aggiornato, e il team non ha ancora comunicato le perdite totali. BTCPay Server è un processore di pagamenti gratuito e open-source che i commercianti possono ospitare autonomamente per accettare Bitcoin. In una configurazione con hot wallet, il server conserva direttamente le chiavi private, permettendo così al software di inviare fondi senza che l’operatore debba firmare ogni singola transazione. Di conseguenza, chiunque abbia accesso da amministratore a un simile server può spostare le sue monete.
Quali versioni sono state colpite dagli attaccanti?
Il team di BTCPay Server ha lanciato il primo allarme nella tarda serata del 1° novembre, invitando ogni operatore a spegnere la propria istanza fino alla fine delle indagini.
Un aggiornamento successivo ha poi ristretto il campo. Il vettore d’attacco riguarda la versione 2.4.1, rilasciata il 23 luglio 2026, e tutte le precedenti. Nel frattempo, il team afferma di non aver ricevuto segnalazioni credibili di fondi sottratti sull’attuale versione 2.4.7.
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
— BTCPay Server (@BtcpayServer) November 2, 2026
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
Il fondatore Nicolas Dorier ha spiegato che l’attaccante si è collegato come amministratore sui server compromessi, anche se il team non ha ancora capito come. L’indagine, finora, ha trovato tracce di vulnerabilità presenti prima della versione 2.4.2.
Questa violazione è almeno la seconda volta in tre mesi che degli attaccanti hanno rubato fondi da istanze BTCPay Server con una versione precedente alla 2.4.2. Quella release ha fixato una grave falla ad agosto, che permetteva ad attaccanti remoti di ottenere le credenziali di un nodo Lightning e svuotare i wallet collegati.
Anche in quel caso, il bug era già sotto sfruttamento attivo.
Utilizzare un hot wallet su BTCPay Server è davvero sicuro?
Anche i fornitori di servizi di hosting si sono mossi rapidamente. Secondo il team, LunaNode e altri potrebbero aver spento automaticamente le istanze dei clienti per bloccare gli attacchi sulle versioni più vecchie.
Dorier utilizza personalmente la versione 2.4.7 con un hot wallet. Tuttavia, il fondatore ha messo in guardia dal tenere somme elevate su qualsiasi server.
Non mettere mai più di quanto sei disposto a perdere in un hot wallet. Non possiamo garantire che non succeda di nuovo.
Nicolas Dorier, X
L’incidente segue un modello ricorrente nell’infrastruttura Bitcoin self-hosted. Di recente, Core Lightning ha avvertito che gli attaccanti prendono di mira i nodi non aggiornati. In entrambi i casi, il fix era disponibile prima del furto, quindi il punto debole resta sempre l’operatore che ha installato una volta l’istanza di BTCPay Server e non l’ha mai aggiornata.
Leggi la storia originale Il tuo BTCPay Server è sicuro? Cosa rivela l'indagine sul drenaggio degli hot wallet di Phil Haunhorst su it.beincrypto.com