BTCPay waarschuwt voor diefstal uit hot wallets op oudere servers

BTCPay Server riep operators op 2 november op om hun instanties offline te halen. Er waren meldingen binnengekomen van aanvallers die hot wallets leegtrokken, aldus Cointelegraph. De waarschuwing richt zich op iedereen die nog versie 2.4.1 of ouder draait.

“We krijgen meldingen binnen dat hot wallets op BTCPay Servers worden leeggetrokken door ongeautoriseerde aanvallers. Als je een instantie draait, schakel deze dan uit (./btcpay-down.sh) totdat we het onderzoek hebben afgerond,” schreef het project, zoals gemeld door CoinDesk.

BTCPay Server is een gratis, open-source betaalverwerker — bedrijven draaien het zelf om direct bitcoin te accepteren, zonder externe bewaarder.

Aanvallers verkregen beheerderstoegang op getroffen servers, meldde CoinDesk. Het totale aantal getroffen operators, hoeveel bitcoin is buitgemaakt en hoe de inloggegevens zijn verkregen, is niet bekendgemaakt.

De versiegeschiedenis geeft in elk geval enige afbakening van het probleem. BTCPay Server bracht 2.4.1 uit op 23 juli 2026. De gemelde diefstallen lijken beperkt tot releases ouder dan 2.4.2, en het project zei geen geloofwaardige meldingen van leeggetrokken wallets te hebben ontvangen van gebruikers op 2.4.7, de huidige release. BTCPay Server’s eigen publieke servers, die ook 2.4.7 draaien, bleven ongemoeid.

De grens tussen 2.4.1 en 2.4.2 heeft al eerder een rol gespeeld. Of wie er achter de huidige diefstallen zit dezelfde methode gebruikt, of iets heel anders, heeft het onderzoek niet aangegeven.

Het advies verklaart nieuwere versies niet categorisch veilig tegen wat voor methode er nu ook wordt gebruikt. Wat de bekende feiten wel vaststellen, is beperkter: een hot wallet op een niet-bijgewerkte zelf gehoste instantie is kwetsbaar voor elke servercompromittering, en onder operators op de huidige release staat het aantal gemelde gevallen van leeggetrokken wallets op nul.