BTCPay Server herleidt leegroving van hot wallets tot installaties van vóór 2.4.2
BTCPay Server riep operators op 2 november op hun instanties tijdelijk uit te schakelen na meldingen van het leegroven van Bitcoin hot wallets. Het project heeft de vermoedelijke aanvalsvector later beperkt tot versies 2.4.1 en ouder, en stelt dat er geen geloofwaardige meldingen van leegroving voor release 2.4.7 zijn.
Geschreven door de AI-redactie van CoinArticle · op basis van 2 geciteerde bronnen. Hoe we werken
Waarschuwing om uit te schakelen en reikwijdte
BTCPay Server, de open-source zelfgehoste betalingsverwerker voor Bitcoin, heeft operators op 2 november gevraagd hun instanties tijdelijk uit te schakelen na meldingen van ongeautoriseerd leeghalen van gekoppelde hot wallets. De eerste instructie, waarbij het script ./btcpay-down.sh werd uitgevoerd, gold voor alle gebruikers terwijl het team probeerde vast te stellen hoe aanvallers toegang kregen.
Een vervolgupdate van de incidentrespons heeft de vermoedelijke aanvalsvector beperkt tot installaties met versie 2.4.1, uitgebracht op 23 juli 2026, of eerder. Het project meldt geen geloofwaardige meldingen van leegroving van hot wallets met betrekking tot versie 2.4.7 en heeft operators opnieuw aangeraden hun software up-to-date te houden.
Tegenstrijdige verslagen over de getroffen versies
De bronnen verschillen over de precieze grens. De advisory van het project noemt versie 2.4.1 en ouder als het getroffen bereik. Medeoprichter Nicolas Dorier zei in een afzonderlijke verklaring op dezelfde dag dat de getroffen installaties vermoedelijk releases van vóór 2.4.2 draaiden, een smallere omschrijving die 2.4.1 alleen in de formulering van de grens effectief uit de kwetsbare groep sluit. Lezers moeten de bereik-omschrijving '2.4.1 en ouder' uit de officiële advisory als leidraad beschouwen en opmerken dat Dorier's formulering naar dezelfde praktische grens wijst: upgraden naar een versie na de 2.4.x-puntreleases die aan 2.4.2 voorafgingen.
Dorier zei ook dat de eigen publieke servers van het project, die 2.4.7 draaien, niet zijn aangevallen. Hij zei dat de aanvaller administrator-level login op de getroffen instanties verkreeg, maar dat het team nog niet had vastgesteld hoe die toegang was verkregen.
Onbekenden en eerder incident
Het project heeft niet bekendgemaakt hoeveel cryptovaluta er is weggenomen, hoeveel servers zijn gecompromitteerd, of hoeveel gebruikers verliezen hebben gemeld. Ook heeft het niet publiekelijk beschreven welke technische zwakte de inbraken mogelijk maakte.
Het voorval volgt op een inbreuk in augustus, toen BTCPay Server waarschuwde voor een actief uitgebuite kwetsbaarheid die gestolen fondsen tot gevolg kon hebben en gebruikers opriep te upgraden naar versie 2.4.2 of hun servers uit te schakelen als ze de fix niet konden installeren. Gebruikers die denken dat hun servers zijn gecompromitteerd, is gevraagd incidentdetails en systeemlogs naar het beveiligingscontact van het project te sturen.
Wat operators wordt gevraagd
De richtlijn van het project is de nieuwste release te draaien, de geïnstalleerde versie te bevestigen en logs in te dienen als compromittering wordt vermoed. Hot wallets blijven blootgesteld wanneer aanvallers administratieve controle verkrijgen, omdat zij transacties kunnen starten vanuit gekoppelde wallets. Dat de grondoorzaak nog niet is gepubliceerd, betekent dat operators op oudere builds buiten de versie-upgrade geen fix-specifieke details hebben.
Waarom het ertoe doet
Voor traders
Verliezen zijn niet becijferd en het project heeft geen totalen gepubliceerd, dus een prijseffect voor Bitcoin is in de komende dagen waarschijnlijk niet significant.
Voor beleggers
Het incident is een verhaal over zelfbewaring en operationele beveiliging van een niche-betaaltool, en geen verandering in het risicoprofiel van Bitcoin's basislaag.
Voor bouwers
Elke integratie die afhankelijk is van hot wallets van BTCPay Server moet de geïmplementeerde versie verifiëren en administrator-level toegang behandelen als de kritieke grens om te verharden.
Dit artikel is alleen bedoeld ter informatie en is geen financieel advies. Lees de volledige disclaimer.
