BTCPay Server призывает продавцов отключить серверы после того, как злоумышленники вывели биткоины из горячих кошельков

BTCPay Server в воскресенье, 1 ноября, попросил всех, кто использует это ПО, отключить его. «Мы получаем сообщения о том, что горячие кошельки на серверах BTCPay опустошаются неавторизованными злоумышленниками», — написал проект в X, попросив операторов не включать свои экземпляры до завершения расследования.

BTCPay — бесплатное программное обеспечение с открытым исходным кодом, которое магазины и другие компании размещают на собственных серверах, чтобы принимать оплату в биткоинах напрямую, без кастодиана-посредника. Некоторые продавцы используют горячий кошелёк, сид-фраза которого хранится на сервере, чтобы он мог отправлять платежи без отдельного подтверждения; документация BTCPay помечает эту функцию как опасную, сообщил CoinDesk.

Позже основатель Николя Дорье сказал, что, судя по сообщениям, речь идёт о версиях старше 2.4.2, что злоумышленник входил в систему как администратор и что собственные публичные серверы проекта на версии 2.4.7 не подвергались атаке, передаёт CoinDesk. Команда не сообщила, как злоумышленник получил доступ, и не подтвердила, что новые версии безопасны. По данным TokenPost, проект попросил затронутых операторов установить текущую версию и отправить журналы его команде безопасности.

BTCPay не опубликовал ни сумму потерь, ни число затронутых серверов. В августе проект исправил отдельную уязвимость в версиях до 2.4.2, которая раскрывала учётные данные узлов Lightning.