حصل المهاجمون على وصول إداري إلى نسخ خوادم BTCPay القديمة واكتشوا محافظهم الساخنة، وتشير الآثار إلى عيوب تعود إلى ما قبل تحديث أغسطس.
يقع الضرر على المشغلين الذين لم يتحدثوا أبدا، ولم يكشف الفريق بعد عن إجمالي الخسائر. خادم BTCPay هو معالج مدفوعات مجاني ومفتوح المصدر يستضيف التجار أنفسهم لقبول البيتكوين. في إعداد المحفظة الساخنة، يخزن الخادم المفاتيح الخاصة بنفسه، مما يسمح للبرنامج بإرسال الأموال دون توقيع المشغل على كل معاملة. وبالتالي، يمكن لأي شخص لديه صلاحية إدارية إلى مثل هذا الخادم نقل عملاته.
أي النسخ استهدفها المهاجمون؟
أطلق فريق خادم BTCPay أول إنذار في وقت متأخر من 1 نوفمبر. طلب من كل مشغل إيقاف جهازه حتى انتهاء التحقيق.
ثم تضيق المتابعة النطاق. يستهدف متجه الهجوم الإصدار 2.4.1، الذي صدر في 23 يوليو 2026، وأي إصدار أقدم. في الوقت نفسه، يقول الفريق إنه لا توجد تقارير موثوقة عن استنزاف في الإصدار الحالي 2.4.7.
قال المؤسس نيكولاس دورييه إن المهاجم سجل الدخول كمسؤول على الخوادم المتأثرة، رغم أن الفريق لم يتوصل بعد إلى كيفية ذلك. حتى الآن، وجد التحقيق آثار ثغرات تعود إلى ما قبل الإصدار 2.4.2.
يمثل هذا الاختراق المرة الثانية على الأقل خلال ثلاثة أشهر التي يسرق فيها المهاجمون أموالا من نسخ خادم BTCPay التي تعمل بإصدارات أقدم من 2.4.2. قام ذلك الإصدار بإصلاح خلل حرج في أغسطس، مما سمح للمهاجمين عن بعد بأخذ بيانات اعتماد عقدة Lightning واستنزاف المحافظ المتصلة.
حتى في ذلك الوقت، كان الحشرة بالفعل تحت استغلال نشط.
هل تستحق المحفظة الساخنة في خادم BTCPay المخاطرة؟
تحركت مزودي الاستضافة بسرعة أيضا. يقول الفريق إن LunaNode وآخرون ربما أغلقوا نسخ العملاء تلقائيا لمنع الهجمات على الإصدارات القديمة.
يدير دورييه الإصدار 2.4.7 بمحفظة ساخنة بنفسه. ومع ذلك، حذر المؤسس من الاحتفاظ بمبالغ كبيرة على أي خادم.
لا تضع أكثر مما أنت مستعد لخسارته في المحفظة الساخنة. لا يمكننا ضمان ألا يحدث ذلك مرة أخرى.
نيكولاس دورييه، إكس
تنطبق الحادثة على نمط أوسع عبر بنية البيتكوين المستضافة ذاتيا. حذرت Core Lightning مؤخرا من أن المهاجمين يستهدفون العقد غير المصححة. في كلتا الحالتين، كان الحل موجودا قبل السرقة، لذا كانت أضعف نقطة هي مشغل قام بتركيب نسخة من خادم BTCPay مرة واحدة ولم يقم بتحديثه.
