Các hệ thống BTCPay Server lỗi thời bị tấn công nhằm vào ví nóng

Việc truy cập trái phép vào các hệ thống BTCPay Server được cập nhật không đầy đủ đã cho phép rút sạch ví nóng, với bằng chứng cho thấy các lỗ hổng đã tồn tại trước bản cập nhật hồi tháng 8.

Các nhà vận hành không áp dụng bản vá đã gánh chịu hậu quả chính, mặc dù số tiền bị mất cụ thể vẫn chưa được nhóm xác nhận. Là một nền tảng xử lý thanh toán Bitcoin mã nguồn mở, tự lưu trữ, BTCPay Server dựa vào các ví nóng lưu giữ khóa riêng tư, loại bỏ nhu cầu ký thủ công cho từng giao dịch. Do đó, bất kỳ người dùng quản trị nào trên máy chủ cũng có thể khởi tạo giao dịch chuyển coin.

Những phiên bản BTCPay Server nào bị ảnh hưởng?

Đội ngũ BTCPay Server đã đưa ra cảnh báo vào cuối ngày 1 tháng 11, khuyến nghị tất cả nhà vận hành đưa hệ thống của họ ngoại tuyến trong khi chờ kết thúc cuộc điều tra.

Một thông báo tiếp theo từ đội ngũ đã xác định rõ hơn đối tượng bị ảnh hưởng. Lỗ hổng ảnh hưởng cụ thể đến phiên bản 2.4.1, phát hành ngày 23/7/2026, cùng với tất cả các phiên bản trước đó. Hiện tại, đội ngũ cho biết chưa có trường hợp nào được xác minh về việc tiền bị lấy từ các hệ thống chạy bản cập nhật mới nhất 2.4.7.

📢 Cuộc điều tra ứng phó sự cố của chúng tôi đã xác định một vector tấn công nhắm vào các hệ thống chạy phiên bản 2.4.1 (23/7/2026) trở về trước.

Chúng tôi không có báo cáo đáng tin cậy nào về việc ví nóng bị rút sạch đối với người dùng chạy bản phát hành mới nhất 2.4.7. Chúng tôi một lần nữa kêu gọi mọi người giữ cho BTCPay Server của mình…

— BTCPay Server (@BtcpayServer) Ngày 2 tháng 11, 2026

Nhà sáng lập BTCPay Server, Nicolas Dorier, cho biết kẻ xâm nhập đã giành được quyền truy cập quản trị vào các máy chủ bị xâm nhập, và phương thức xâm nhập vẫn chưa được xác định. Các nhà điều tra cho đến nay đã phát hiện bằng chứng về các lỗ hổng bảo mật tồn tại trước khi bản 2.4.2 được phát hành.

Sự việc này ít nhất là lần thứ hai trong khoảng thời gian ba tháng mà các phiên bản BTCPay Server cũ hơn (trước 2.4.2) bị đánh cắp tiền. Bản cập nhật 2.4.2 hồi tháng 8 đã sửa một lỗ hổng nghiêm trọng cho phép kẻ xâm nhập lấy từ xa thông tin xác thực nút Lightning và rút sạch các ví liên quan.

Vào thời điểm bản vá được phát hành, lỗ hổng vốn đã bị khai thác tích cực.

Ví nóng BTCPay Server rủi ro đến mức nào?

Các nhà cung cấp dịch vụ lưu trữ cũng làm theo. Đội ngũ cho biết LunaNode và các nhà cung cấp dịch vụ lưu trữ tương tự có thể đã tự động tắt các hệ thống của khách hàng chạy phiên bản cũ để ngăn chặn các cuộc tấn công.

Bản thân Dorier đang vận hành bản phát hành 2.4.7 kết hợp với một ví nóng. Tuy nhiên, nhà sáng lập khuyến nghị không nên giữ số tiền lớn trên bất kỳ máy chủ nào.

Đừng đặt vào ví nóng nhiều hơn số tiền bạn sẵn sàng mất. Chúng tôi không thể đảm bảo điều này sẽ không xảy ra lần nữa.

Nicolas Dorier, X

Vụ xâm nhập này khớp với xu hướng rộng hơn được quan sát thấy trong các hệ thống Bitcoin tự lưu trữ. Chẳng hạn, Core Lightning gần đây đã cảnh báo rằng các nút chưa được vá đang bị kẻ tấn công tích cực tìm kiếm. Trong cả hai trường hợp, bản cập nhật bảo mật cần thiết đã có sẵn trước khi xảy ra các vụ đánh cắp, làm nổi bật sự dễ bị tổn thương của những nhà vận hành dựng máy chủ nhưng không áp dụng các bản vá sau đó.