Источник: Coinspeaker
Нейтральная

BTCPay Server призывает мерчантов обновиться до 2.4.7, чтобы предотвратить кражи средств

In English
4 мин

BTCPay Server призвал операторов немедленно отключить инстансы после сообщений о сливе средств из hot-кошельков на серверях мерчантов. Позже расследование свело вектор атаки к устаревшему софту: инстансам на версии 2.4.1, выпущенной 23 июля, или старше. Проект сообщил, что не имеет достоверных данных о сливах на 2.4.7, и не раскрыл число затронутых магазинов или общий ущерб. Хостинг-провайдеры превентивно остановили старые хостed-инстансы, из‑за чего часть магазинов может оставаться офлайн.

Что произошло с hot-кошельками BTCPay Server?

Злоумышленник получил права администратора на старых инстансах BTCPay Server и опустошил hot-кошельки. BTCPay Server в 22:25 UTC в воскресенье поднял тревогу и призвал операторов запустить скрипт остановки до завершения расследования. Основатель Nicolas Dorier сообщил спустя два часа, что публичные серверы на 2.4.7 не пострадали, а на затронутых инстансах атакующий входил с правами администратора.

В 04:07 UTC проект заявил, что атака была нацелена на версии 2.4.1 и старше, и что у него нет достоверных сообщений о сливах на 2.4.7.

Hot-кошелек хранит ключи для подписания на сервере, чтобы автоматизировать возвраты и выплаты. Админские права на этом сервере позволяют тратить средства из таких кошельков. Партнеры по хостингу среагировали быстро: BTCPay поблагодарил LunaNode и других за отключение устаревших hosted-инстансов.

История релизов указывает на быстрые правки: 2.4.1 вышла 23 июля. Версия 2.4.2 последовала через две недели с исправлением критической уязвимости, которая уже активно эксплуатировалась. Еще пять релизов завершились на 2.4.7 в четверг, где были закрыты 85 находок по результатам security-скана от Anthropic AI.

Подтверждения, что текущий инцидент совпадает с уязвимостью августа, пока нет. Dorier сообщил, что скоро выйдет подробный пост в блоге.

Под угрозой ли ваш магазин на BTCPay Server?

Зона риска: инстансы на 2.4.1 и старше. Dorier написал, что у магазинов, обновлявшихся хотя бы с 2.4.2, нет причин для паники.

Что операторам делать сейчас:
- Проверить версию: все на 2.4.1 и ниже остаются офлайн до обновления.
- Обновиться до 2.4.7: в интерфейсе — Update в Server Settings → Maintenance. Установки в Docker: запустить скрипт btcpay-update.sh по SSH. Umbrel или Start9: установить через платформу, как описано в гайде BTCPay.
- Держать hot-кошелек «тонким»: выметать выручку в cold storage и оставлять только средства, нужные для возвратов.
- Сообщить о сливе: отправить детали и логи на security@btcpayserver.org.

Сообщалось о сливах именно hot-кошельков. Магазины, настроенные с watch-only кошельком, держат ключи для подписания вне сервера.

Повлияла ли эта новость на цену BTC?

Нет. BTC стоил $77,890, когда вышло предупреждение, и торговался по $78,102 на Binance в 07:40 UTC в понедельник, что на 0,3% выше за 24 часа. Рынок по‑прежнему сосредоточен на прошлонедельном взломе Binance. Цена удержала минимум 30 октября на $76,326 возле 200‑дневной EMA, сейчас $76,512, в течение трех дней. Ближайшие уровни сверху: 50‑дневная EMA на $80,293 и $81,971 — максимум 29 октября. Индекс страха и жадности — 37, что указывает на страх, а за неделю BTC снизился на 2,5%.

August 5 to November 2, 2026: BTCUSDT 1D chart. Source: TradingView

5 августа — 2 ноября 2026: график BTCUSDT 1D. Источник: TradingView

Сценарий Триггер Уровень для наблюдения
Отскок Дневное закрытие выше $80,293 $81,971, максимум 29 октября
Боковик Диапазон $76,326–$80,293 Диапазон между двумя EMA
Распродажа Дневное закрытие ниже $76,326 $74,968, минимум 15 сентября

Оригинальная публикация

Авторы, указанные в источнике: Daniel Francis

Материал опубликован Holder на основе внешнего источника.