BTCPay Server ha consigliato agli utenti di aggiornare il suo software di pagamento in criptovaluta autogestito dopo le segnalazioni secondo cui gli aggressori avrebbero sottratto Bitcoin e Litecoin dagli Hot wallet di istanze meno recenti. L’indagine del progetto ha rilevato che gli attacchi hanno preso di mira server con la versione 2.4.1 o precedente.
La vulnerabilità è stata corretta nella versione 2.4.2, rilasciata il 7 agosto 2026. BTCPay Server raccomanda agli utenti della versione 2.4.1 o precedente di migrare a un server nuovo e creare un nuovo wallet, anche se non hanno rilevato furti. Chiunque sospetti un accesso non autorizzato dovrebbe considerare compromessi sia il computer sia tutti i segreti in esso conservati e seguire le stesse procedure di recupero.
Non si sa quando gli aggressori abbiano iniziato a sfruttare la falla. Le segnalazioni dell’attività sono emerse intorno al 1° novembre 2026. BTCPay Server ha dichiarato di non aver ricevuto segnalazioni attendibili di svuotamenti degli hot wallet da parte di utenti che utilizzano la versione 2.4.7, che risolve una vulnerabilità critica e diverse vulnerabilità di gravità media individuate tramite lo scanner OSS di Anthropic.
Il progetto ha inoltre consigliato agli utenti che necessitano di un hot wallet per le operazioni quotidiane di lasciare sul server solo i fondi necessari e di conservare gli asset rimanenti in un wallet le cui chiavi di spesa siano custodite altrove. Le istanze gestite da provider di hosting potrebbero essere state spente automaticamente per impedire lo sfruttamento delle versioni meno recenti.
Fonti: The Hacker News.