Avoimen lähdekoodin projekti kehotti ylläpitäjiä sunnuntaina sulkemaan järjestelmät tutkinnan ajaksi. Taustalla ovat tiedot siitä, että luvattomat toimijat ovat onnistuneet tyhjentämään liitettyjä kuumalompakoita bitcoineista.
BTCPay Serverin perustaja Nicolas Dorier ilmoitti, että hyökkääjä näyttää kirjautuneen sisään järjestelmänvalvojan oikeuksilla palvelimille, joissa on versiota 2.4.2 vanhempi ohjelmisto. Projekti ilmoitti myöhemmin, että hyökkäykset ovat kohdistuneet versioon 2.4.1 ja sitä aiempiin julkaisuihin.
Haavoittuvuuksia vanhemmissa versioissa
Kehittäjät painottavat, ettei vahvistettuja murtoja ole raportoitu käyttäjiltä, jotka käyttävät uusinta versiota 2.4.7. Samaan aikaan jotkin hosting-yritykset, mukaan lukien LunaNode, ovat päättäneet sulkea palvelimia automaattisesti suojatakseen asiakkaita, jotka eivät ole ehtineet päivittää.
Koska BTCPay Serveriä ajetaan kauppiaiden omilla palvelimilla, keskitettyä tahoa ohjelmiston sulkemiseksi ei ole. Jos kauppiaat ottavat käyttöön kuumalompakoita, avaimet tallennetaan suoraan internetiin yhdistetylle palvelimelle maksutapahtumien käsittelyä varten, mikä aiheuttaa kohonneita turvallisuusriskejä.
Useita tapauksia vuonna 2026
Tapaus sattui vain päiviä sen jälkeen, kun projekti julkaisi hätäpäivityksen kriittisen tietoturva-aukon korjaamiseksi. Haavoittuvuus havaittiin Anthropicin tekemässä skannauksessa, mutta toistaiseksi on epäselvää, liittyvätkö tietomurrot kyseiseen haavoittuvuuteen.
Tämä ei ole ensimmäinen kerta, kun tietoturva on joutunut koetukselle vuonna 2026. Jo elokuussa tiimi varoitti vanhempiin versioihin kohdistuneesta aktiivisesta hakkeroinnista. Tuolloin tarjottiin jopa 3 bitcoinin palkkiota palautetuista varoista. Tällä hetkellä ei vielä tiedetä, kuinka paljon varoja tällä kertaa on varastettu.