BTCPay Server sotto attacco: hot wallet Bitcoin e Litecoin svuotati, aggiorna subito o migra su nuovo server

BTCPay Server è un processore di pagamenti in criptovalute open source e self hosted, molto usato da chi vuole accettare Bitcoin senza intermediari. Negli ultimi giorni sono emerse segnalazioni di furti di Bitcoin e Litecoin da hot wallet collegati a installazioni non aggiornate.

In risposta, il progetto ha invitato gli amministratori a installare subito la versione più recente e a trattare la situazione come un potenziale incidente di sicurezza.

Le indagini indicano che gli attacchi hanno preso di mira istanze che eseguivano BTCPay Server 2.4.1 o versioni precedenti. Gli aggressori avrebbero sfruttato una vulnerabilità corretta già con la release 2.4.2, adottando però un metodo di exploit diverso rispetto a quanto osservato in precedenza. Anche se non è chiaro quando sia iniziata la campagna, le prime segnalazioni pubbliche sono aumentate a partire dal 1 novembre 2026, suggerendo una finestra di rischio concreta per chi non ha applicato le patch.

Raccomandazioni operative (risposta all’incidente)

La raccomandazione operativa più importante riguarda la risposta all’incidente. Chi utilizza BTCPay Server 2.4.1 o precedenti dovrebbe migrare su un server nuovo e creare un nuovo wallet, anche nel caso in cui non abbia ancora notato movimenti sospetti. Se si sospetta accesso non autorizzato o fondi sottratti, è necessario considerare compromessa l’intera macchina e tutti i segreti memorizzati, comprese chiavi e credenziali, e avviare procedure di ripristino complete.

Dettagli tecnici e mitigazioni

Tra i dettagli tecnici, una criticità già documentata in estate poteva consentire a un attaccante remoto non autenticato di ottenere file di credenziali con estensione macaroon usati da LND, implementazione della Lightning Network. Con tali credenziali, un aggressore potrebbe prendere il controllo del nodo e spostare i fondi. Per ridurre l’impatto, è consigliato mantenere sull’hot wallet solo la liquidità necessaria alle operazioni quotidiane e conservare il resto in un wallet con chiavi di spesa fuori dal server.

Il progetto ha inoltre indicato che non risultano segnalazioni credibili di hot wallet svuotati su installazioni aggiornate all’ultima versione disponibile, mentre alcuni provider di hosting potrebbero aver disattivato automaticamente istanze obsolete per prevenire ulteriori exploit. In un contesto in cui gli attacchi alle piattaforme crypto sono sempre più frequenti, l’aggiornamento tempestivo e la gestione prudente delle chiavi restano le misure più efficaci.