O BTCPay Server recomendou aos usuários que atualizem seu software de pagamentos em criptomoedas auto-hospedado após relatos de que invasores roubaram Bitcoin e Litecoin de Hot wallets em instâncias antigas. A investigação do projeto concluiu que os ataques tiveram como alvo servidores que executavam a versão 2.4.1 ou anterior.
A vulnerabilidade foi corrigida na versão 2.4.2, lançada em 7 de agosto de 2026. O BTCPay Server recomenda que os usuários da versão 2.4.1 ou anterior migrem para um servidor novo e criem uma nova carteira, mesmo que não tenham detectado nenhum roubo. Quem suspeitar de acesso não autorizado deve considerar a máquina e todos os segredos armazenados nela comprometidos e seguir as mesmas etapas de recuperação.
Não se sabe quando os invasores começaram a explorar a falha. Os relatos da atividade surgiram por volta de 1º de novembro de 2026. O BTCPay Server informou que não havia recebido relatos confiáveis de esvaziamento de hot wallets de usuários que executavam a versão 2.4.7, que corrige uma vulnerabilidade crítica e várias de gravidade média identificadas pelo scanner OSS da Anthropic.
O projeto também recomendou que os usuários que precisam de uma hot wallet para as operações diárias mantenham no servidor apenas os fundos necessários e armazenem os ativos restantes em uma carteira cujas chaves de gasto sejam mantidas em outro lugar. Instâncias gerenciadas por provedores de hospedagem podem ter sido desligadas automaticamente para impedir a exploração de versões antigas.
Fontes: The Hacker News.