Il manutentore di BTCPay Server, un processore open source per pagamenti in criptovaluta, sta avvertendo gli utenti di attacchi che hanno svuotato i portafogli hot sulle istanze che eseguivano software obsoleto. Agli operatori che utilizzano versioni interessate viene raccomandato di mettere offline i propri server e di aggiornarli il prima possibile.
Il progetto ha dichiarato che la sua indagine ha identificato un vettore d’attacco che prende di mira BTCPay Server versione 2.4.1, rilasciata il 23 luglio 2026, e le versioni precedenti. Raccomanda di effettuare l’upgrade alla versione 2.4.7, osservando al contempo di non avere segnalazioni credibili di furti dai portafogli hot degli utenti che eseguono l’ultima release.
Il fondatore di BTCPay, Nicolas Dorier, ha dichiarato che gli attacchi non hanno preso di mira i server pubblici. Gli investigatori stanno esaminando il modo in cui l’aggressore ha ottenuto l’accesso amministrativo alle installazioni che eseguivano versioni precedenti alla 2.4.2.
BTCPay Server consente alle aziende di elaborare pagamenti in Bitcoin e in altri asset digitali direttamente nei propri portafogli. La piattaforma gestisce le fatture di checkout e la verifica dei pagamenti, comprese le transazioni effettuate tramite la rete Lightning.
Il 29 ottobre, il progetto ha divulgato una vulnerabilità critica identificata dallo scanner Frontier OSS di Anthropic e ha rilasciato la versione 2.4.7 come aggiornamento di sicurezza d’emergenza. In seguito Dorier ha dichiarato che vi erano indicazioni secondo cui l’aggressore recente aveva sfruttato vulnerabilità nelle versioni precedenti alla 2.4.2, un collegamento successivamente confermato dal progetto. BTCPay Server non ha specificato quale falla venga sfruttata negli attacchi attuali.
Agli utenti che ritengono di essere interessati viene chiesto di inviare dettagli e registri delle attività a security@btcpayserver.org. L’aggiornamento può essere installato tramite Impostazioni del server → Manutenzione → Aggiorna. Gli amministratori che utilizzano Docker possono aggiornare collegandosi tramite SSH, passando alla directory di distribuzione di BTCPay ed eseguendo lo script di aggiornamento del progetto.
Il progetto aveva già avvertito, il 7 agosto, che una falla corretta nella versione 2.4.2 era oggetto di sfruttamento attivo per esporre i file delle credenziali di LND, consentendo potenzialmente agli aggressori di controllare i nodi Lightning interessati e rubare fondi.
Fonti: BleepingComputer.