BTCPay Server มีช่องโหว่ด้านความปลอดภัยทำให้กระเป๋าเงินร้อนถูกขโมย ทางการแนะนำอย่างเร่งด่วนให้ผู้ใช้เวอร์ชันเก่าปิดเซิร์ฟเวอร์และย้ายข้อมูล

ข่าว BlockBeats วันที่ 5 พฤศจิกายน เครื่องมือประมวลผลการชำระเงิน Bitcoin แบบโอเพนซอร์ส BTCPay Server ได้รับรายงานหลายกรณีเมื่อวันที่ 1 พฤศจิกายน ระบุว่ากระเป๋าเงินร้อน Bitcoin และ Litecoin บนแพลตฟอร์มของตนกำลังถูกขโมยเงินโดยไม่ได้รับอนุญาต วันที่ 2 พฤศจิกายน ทีมโครงการได้เผยแพร่การอัปเดตการสอบสวน ยืนยันว่าการโจมตีมุ่งเป้าไปที่เซิร์ฟเวอร์ที่รัน BTCPay Server เวอร์ชัน 2.4.1 (เผยแพร่เมื่อวันที่ 23 กรกฎาคม 2026) หรือเวอร์ชันเก่ากว่า โดยผู้โจมตีใช้ช่องโหว่ที่ได้รับการแก้ไขแล้วในเวอร์ชัน 2.4.2 ซึ่งเผยแพร่เมื่อวันที่ 7 สิงหาคม

การสอบสวนแสดงให้เห็นว่าผู้โจมตีใช้วิธีการต่าง ๆ เพื่อใช้ประโยชน์จากช่องโหว่ในเวอร์ชันเก่านี้ สามารถเข้าถึงสิทธิ์ผู้ดูแลระบบของเซิร์ฟเวอร์ได้สำเร็จ และกวาดเงินในกระเป๋าเงินร้อนออกจนหมด หลังจากตรวจพบความผิดปกติ BTCPay Server ได้เผยแพร่การแจ้งเตือนฉุกเฉินเมื่อวันที่ 1 พฤศจิกายน แนะนำให้ผู้ดำเนินการอินสแตนซ์ทั้งหมดปิดเซิร์ฟเวอร์ชั่วคราวเพื่อร่วมมือในการสอบสวน ผู้ก่อตั้ง Nicolas Dorier ยืนยันในภายหลังว่าเฉพาะเซิร์ฟเวอร์ที่รันเวอร์ชันก่อน 2.4.2 (โดยเฉพาะ 2.4.1) เท่านั้นที่ได้รับผลกระทบ ขณะที่ผู้ใช้ที่รันเวอร์ชันล่าสุด 2.4.7 ไม่มีรายงานความเสียหายที่น่าเชื่อถือ ผู้ให้บริการที่ได้รับผลกระทบบางราย เช่น LunaNode ได้ปิดอินสแตนซ์เวอร์ชันเก่าที่มีความเสี่ยงโดยอัตโนมัติเพื่อป้องกันความเสียหายที่ขยายวงกว้าง

สำหรับเหตุการณ์นี้ ทาง oficial ได้ให้คำแนะนำการกู้คืนที่ชัดเจน: การอัปเดตเวอร์ชันซอฟต์แวร์เพียงอย่างเดียวไม่เพียงพอที่จะขจัดความเสี่ยง เนื่องจากผู้โจมตีอาจได้รับการเข้าถึงแบบถาวรบนเซิร์ฟเวอร์เก่าแล้ว ทาง oficial แนะนำอย่างยิ่งให้ผู้ใช้ทั้งหมดที่ยังใช้เวอร์ชัน 2.4.1 หรือเก่ากว่า (รวมถึงผู้ใช้ที่อัปเกรดหลังการแจ้งเตือนเมื่อวันที่ 1 พฤศจิกายน) ดำเนินการดังต่อไปนี้ทันที: ประการแรก โอนเงินที่เหลืออยู่ในกระเป๋าเงินร้อนเก่าไปยังกระเป๋าเงินใหม่ที่สร้างด้วยวลีกู้คืนใหม่ทั้งหมด ประการที่สอง ปิดเซิร์ฟเวอร์เก่าและเก็บบันทึกที่เกี่ยวข้องไว้เพื่อการสอบสวน ประการสุดท้าย ติดตั้งเวอร์ชันล่าสุดบนเครื่องเสมือนใหม่ทั้งหมด และเชื่อมต่อกับกระเป๋าเงินใหม่ ห้ามกู้คืนเซิร์ฟเวอร์เก่าทั้งหมดไปยังเครื่องใหม่โดยเด็ดขาด

เป็นที่น่าสังเกตว่าเงินที่เก็บไว้นอกเซิร์ฟเวอร์ (เช่น กระเป๋าเงินฮาร์ดแวร์) ไม่ได้รับผลกระทบจากเหตุการณ์นี้ ทาง oficial ยังคงแนะนำให้ผู้ค้าใช้วิธีการรับเงินที่ปลอดภัยกว่านี้ ช่องโหว่นี้เกี่ยวข้องกับช่องโหว่ที่ได้รับการแก้ไขแล้วในเดือนสิงหาคมปีนี้ ซึ่งในขณะนั้นผู้โจมตีเคยใช้ข้อมูลรับรองผู้ดูแลระบบของ LND (Lightning Network Daemon) เพื่อควบคุมโหนด แม้ว่าช่องโหว่นี้จะส่งผลกระทบร้ายแรง แต่จนถึงปัจจุบันยังไม่ได้รับการกำหนดหมายเลข CVE และไม่อยู่ในรายการช่องโหว่ที่ถูกใช้ประโยชน์ที่รู้จักของ CISA