BTCPay Server upozorava na pražnjenje Bitcoin hot walleta i savetuje gašenje starijih servera

BTCPay Server je izdao hitno bezbednosno upozorenje nakon što je primio izveštaje da napadači uspevaju da dobiju neovlašćen pristup pojedinim starijim instalacijama i isprazne povezane Bitcoin hot wallete.

Projekat je korisnicima prvobitno savetovao da privremeno ugase svoje BTCPay Server instance dok traje istraga.

Naknadna analiza suzila je potencijalni problem na instalacije koje koriste verziju 2.4.1 ili stariju, dok za najnoviju verziju 2.4.7 za sada nema kredibilnih prijava o pražnjenju hot walleta.

BTCPay Server savetovao hitno gašenje servera

BTCPay Server je 2. novembra objavio bezbednosno upozorenje nakon što je dobio više prijava o neautorizovanim withdrawal transakcijama.

Operatorima je savetovano da svoje instance privremeno ugase korišćenjem standardne komande:

./btcpay-down.sh

Prvobitna preporuka odnosila se praktično na sve korisnike dok tim nije imao dovoljno informacija da preciznije odredi obim problema.

Kasnija istraga pokazala je da su najverovatnije pogođene starije verzije softvera.

Verzije 2.4.1 i starije pod najvećim rizikom

BTCPay Server incident response tim identifikovao je potencijalni attack vector koji pogađa verziju 2.4.1, objavljenu 23. jula 2026, kao i starije verzije.

To ne znači da je svaka instalacija tih verzija kompromitovana.

Međutim, projekat navodi da su do sada prijavljeni slučajevi povezani upravo sa starijim instalacijama.

Najnovija verzija 2.4.7 za sada nema potvrđene slučajeve hot wallet pražnjenja.

Verzija 2.4.7 za sada deluje bezbedno

BTCPay Server je posebno naglasio da nije dobio kredibilne prijave o krađi sredstava sa instanci koje koriste verziju 2.4.7.

To je trenutno najvažnija informacija za operatore.

Korisnicima se zato preporučuje da proveravaju tačnu verziju svoje instalacije i da koriste najnovije dostupno izdanje.

Ipak, činjenica da za 2.4.7 nema potvrđenih incidenata ne znači automatski da je istraga potpuno završena.

Tim i dalje analizira način na koji su napadači dobijali pristup serverima.

Napadači dobijali administratorski pristup

Suosnivač BTCPay Servera Nicolas Dorier objavio je dodatne detalje o incidentu.

Prema njegovim rečima, napadači su na kompromitovanim sistemima uspeli da se prijave sa administratorskim privilegijama.

Administratorski pristup može omogućiti kontrolu važnih server funkcija, konfiguracija i wallet operacija.

Međutim, istražitelji još nisu utvrdili kako su napadači uspeli da dobiju te privilegije.

To je trenutno centralno pitanje istrage.

Javni BTCPay serveri nisu pogođeni

Dorier je naveo da javni serveri projekta, koji su koristili verziju 2.4.7, nisu bili napadnuti.

Prema dosadašnjim prijavama, kompromitovane instalacije uglavnom su koristile verzije objavljene pre 2.4.2.

To dodatno podržava pretpostavku da je problem vezan za starije verzije ili određenu konfiguraciju tih sistema.

Hot walleti su glavna meta

Najnoviji incident odnosi se na Bitcoin hot wallete.

Hot wallet je wallet čiji privatni ključevi ili signing infrastruktura ostaju dostupni online kako bi server mogao automatski da obrađuje transakcije.

To ih čini praktičnim za prodavnice i payment sisteme.

Ali istovremeno povećava rizik ako napadač dobije dovoljno visok nivo pristupa serveru.

Kod kompromitovanog BTCPay Servera napadač je u određenim slučajevima uspeo da prebaci raspoloživa sredstva iz hot walleta na druge adrese.

Šta znači „wallet sweep“?

BTCPay Server u upozorenju koristi termin wallet sweep.

To znači da napadač pokušava da prebaci praktično sav raspoloživ balans iz jednog ili više walleta na adresu koju kontroliše.

Za razliku od malih test transakcija, wallet sweep ima cilj da što brže isprazni kompletan dostupan balans.

Zbog toga BTCPay Server korisnicima savetuje da ne drže veće količine Bitcoina u hot walletima nego što je potrebno za svakodnevno poslovanje.

Ukupna šteta još nije poznata

BTCPay Server još nije objavio:

ukupan iznos ukradenog Bitcoina,

broj kompromitovanih servera,

broj pogođenih korisnika,

niti tačan broj uspešnih napada.

Istraga je još u toku.

Zbog toga trenutno nije moguće proceniti finansijski obim incidenta.

Takođe još nema zvanične informacije da je bilo koji deo ukradenih sredstava vraćen.

Pogođeni korisnici treba da sačuvaju logove

BTCPay Server je zamolio sve korisnike koji sumnjaju da su bili kompromitovani da sačuvaju i pošalju relevantne server logove.

Logovi mogu pomoći timu da utvrdi:

odakle je napadač pristupio serveru,

koji nalog je korišćen,

koje akcije su izvršene,

i na koji način je administratorski pristup dobijen.

Brisanje ili restartovanje sistema bez čuvanja logova može uništiti važne forenzičke informacije.

Hosting provajderi već gase stare instance

Nakon početnog upozorenja pojedini hosting provajderi počeli su preventivno da gase BTCPay Server instance svojih korisnika.

BTCPay je posebno zahvalio kompaniji LunaNode, kao i drugim hosting provajderima koji su brzo reagovali.

To znači da neki korisnici mogu primetiti da je njihov server već nedostupan čak i ako ga sami nisu ugasili.

U takvim slučajevima hosting kompanija je možda preventivno suspendovala instancu dok traje bezbednosna provera.

Nije objavljen kompletan spisak hosting kompanija

BTCPay Server nije objavio kompletnu listu provajdera koji su ugasili određene instance.

Takođe nije poznato koliko je servera preventivno isključeno.

Zbog toga operator koji koristi managed hosting treba direktno da proveri status svog servera i verziju BTCPay softvera.

Ovo nije prvi BTCPay bezbednosni incident ove godine

Najnoviji problem dolazi nekoliko meseci nakon odvojene BTCPay Server ranjivosti otkrivene tokom avgusta.

Tada je projekat upozorio korisnike na aktivno iskorišćavanje propusta koji je mogao omogućiti krađu sredstava iz povezanih Lightning walleta.

Korisnicima je tada savetovano da odmah pređu na verziju 2.4.2 ili da ugase server ako ne mogu brzo da instaliraju zakrpu.

Avgustovski propust bio je drugačiji

Važno je razlikovati dva incidenta.

Avgustovska ranjivost omogućavala je napadaču da dođe do LND administrator macaroon credentials.

To je moglo omogućiti pristup povezanim Lightning walletima.

Međutim, BTCPay Server je tada naveo da obični on-chain walleti nisu bili pogođeni tim konkretnim propustom.

Najnoviji incident je drugačiji jer se odnosi upravo na pražnjenje hot walleta povezanih sa starijim server instalacijama.

Ranije ponuđena nagrada za povrat sredstava

Nakon avgustovskog incidenta BTCPay Server je pokrenuo recovery bounty program.

Ponuđena je nagrada od 10% vraćenih sredstava, sa maksimalnom nagradom od 3 BTC-a ako bi sva ukradena imovina bila pronađena.

BTCPay Server Foundation je takođe nagradio istraživače koji su pronašli i prijavili raniju ranjivost.

Sparrow Wallet developer Craig Raw i Bitcoin Red Team fond dobili su po 0,21 BTC-a.

Bitcoin Red Team ponovo pokazao važnost sigurnosnog istraživanja

Bitcoin Red Team je inicijativa koja koristi kombinaciju ljudskog sigurnosnog istraživanja i AI alata za pronalaženje ranjivosti u Bitcoin ekosistemu.

Ovakvi događaji pokazuju koliko bezbednost Bitcoina zavisi i od softvera koji se nalazi iznad samog protokola.

Bitcoin blockchain može nastaviti normalno da radi, dok aplikacija ili payment server koji koristi BTC istovremeno može imati ozbiljan sigurnosni problem.

Core Lightning je takođe imao upozorenje

BTCPay Server nije jedini Bitcoin payment projekat koji je poslednjih meseci imao bezbednosne probleme.

Core Lightning je tokom septembra upozorio da napadači pokušavaju da ciljaju starije, nezakrpljene Lightning nodeove.

Projekat je primio izveštaje o pokušajima iskorišćavanja ranjivih instalacija.

U tom slučaju nije bilo potvrđeno da li su napadači zaista uspeli da ukradu sredstva.

Zajednički problem u oba slučaja jeste korišćenje zastarelog softvera.

Self-hosted sistem znači veću kontrolu, ali i veću odgovornost

Jedna od glavnih prednosti BTCPay Servera jeste što korisnik sam kontroliše payment infrastrukturu.

Nema centralne kompanije koja upravlja njegovim Bitcoin transakcijama.

Ali ista karakteristika znači da operator ima odgovornost za:

ažuriranje softvera,

server bezbednost,

backup,

wallet konfiguraciju,

monitoring,

i upravljanje privatnim ključevima.

Ako operator mesecima ne instalira sigurnosne zakrpe, samostalno hostovanje može postati značajan rizik.

Cold storage ostaje najvažnija zaštita većih iznosa

BTCPay Server ponovo preporučuje da korisnici ograniče količinu sredstava koju drže u hot walletima.

Veći deo Bitcoina trebalo bi držati u cold storageu, odnosno walletu čiji ključevi nisu stalno dostupni online.

Hot wallet bi trebalo da sadrži samo količinu potrebnu za svakodnevno poslovanje.

Ako dođe do kompromitovanja servera, potencijalni gubitak je tada ograničen.

Veći trgovci ne bi trebalo da drže kompletan promet u hot walletu

Za prodavca koji koristi BTCPay Server najbolji model nije da sav primljeni Bitcoin ostaje na payment serveru.

Praktičniji pristup je periodično prebacivanje sredstava u sigurniji cold wallet.

Na primer, server može zadržati samo mali operativni balans potreban za refundacije ili svakodnevne transakcije.

Ostatak se redovno prebacuje van online infrastrukture.

Tako čak i potpuni kompromis servera ne mora da znači gubitak celog Bitcoin portfolija.

Sam update nije zamena za proveru kompromitovanog sistema

Ako je server već bio kompromitovan, samo instaliranje nove verzije možda nije dovoljno.

Napadač koji je prethodno dobio administratorski pristup mogao je promeniti druge delove sistema, dodati naloge ili ostaviti persistentni pristup.

U takvom slučaju potrebno je detaljnije pregledati server.

Kod ozbiljnog kompromisa bezbedniji pristup može biti ponovna instalacija sistema iz čistog okruženja, uz proveru svih tajni, credentials podataka i wallet konfiguracija.

Privatni ključevi treba da se smatraju kompromitovanim ako postoji sumnja

Ako postoji dokaz da je napadač mogao da pristupi privatnim ključevima ili wallet seed podacima, samo promena serverske lozinke nije dovoljna.

Sredstva treba prebaciti na potpuno novi wallet sa novom seed frazom.

Stari seed treba smatrati trajno kompromitovanim.

Međutim, BTCPay Server za sada nije objavio da li je u najnovijim incidentima napadač direktno dolazio do seed phrase podataka ili je koristio administratorsku kontrolu servera za potpisivanje transakcija.

Najnovija verzija trenutno je minimum

Za operatore koji nastavljaju da koriste BTCPay Server najvažnija trenutna preporuka je prelazak na 2.4.7 ili novije izdanje koje uključuje odgovarajuće sigurnosne ispravke.

Projekat trenutno navodi da za 2.4.7 nema kredibilnih prijava o hot wallet pražnjenju.

Međutim, pošto istraga još traje, korisnici treba da prate nova sigurnosna saopštenja projekta.

Ne treba automatski zaključiti da je svaka stara instalacija hakovana

BTCPay Server je jasno naglasio da identifikovanje verzije 2.4.1 i starijih kao potencijalno ranjivih ne znači da je svaki takav server kompromitovan.

Radi se o verzijama kod kojih je identifikovan attack vector i koje se pojavljuju u prijavljenim incidentima.

Stvarni rizik zavisi i od konfiguracije servera, načina hostovanja i drugih bezbednosnih faktora.

Ipak, nastavak korišćenja stare verzije više nije razuman rizik.

Šta operator treba da uradi odmah?

Ako server koristi verziju 2.4.1 ili stariju, najbezbedniji potez je da se instanca privremeno ugasi dok se ne izvrši update i bezbednosna provera.

Ako se koristi verzija 2.4.7, trenutno nema potvrđenih slučajeva pražnjenja walleta, ali je i dalje preporučljivo proveriti logove i pratiti nova obaveštenja.

Veće količine BTC-a ne bi trebalo držati u hot walletu.

Ako postoje sumnjive transakcije, treba sačuvati logove i odmah reagovati.

Obični Bitcoin korisnici nisu direktno pogođeni

Ovaj incident ne predstavlja ranjivost samog Bitcoin protokola.

Korisnici koji drže BTC u svojim hardverskim ili drugim walletima i ne koriste BTCPay Server nisu direktno pogođeni ovom konkretnom bezbednosnom situacijom.

Problem se odnosi na određene BTCPay Server instalacije i hot wallete povezane sa njima.

Bitcoin mreža nastavlja normalno da radi.

Zaključak

BTCPay Server je izdao hitno bezbednosno upozorenje nakon što je primio prijave o neautorizovanom pristupu starijim server instalacijama i pražnjenju povezanih Bitcoin hot walleta.

Prvobitno je svim operatorima savetovano da privremeno ugase servere, dok je naknadna istraga problem suzila na instalacije koje koriste verziju 2.4.1 ili stariju.

Za najnoviju verziju 2.4.7 trenutno nema kredibilnih prijava o wallet drain incidentima.

Prema Nicolasu Dorieru, napadači su na pogođenim sistemima uspeli da dobiju administratorski pristup, ali još nije poznato kako su te privilegije pribavljene.

BTCPay Server još nije objavio ukupan iznos ukradenog Bitcoina niti broj kompromitovanih servera.

Hosting kompanije, uključujući LunaNode, preventivno su ugasile određene instance, dok projekat traži od pogođenih korisnika da sačuvaju i dostave relevantne server logove.

Incident ponovo pokazuje da self-hosted Bitcoin infrastruktura daje korisniku veliku kontrolu, ali istovremeno zahteva aktivno održavanje i redovno instaliranje bezbednosnih zakrpa.

Za veće količine Bitcoina ostaje najbezbednija praksa da se samo mali operativni balans drži u hot walletu, dok se ostatak prebacuje u cold storage.