Instalações antigas do BTCPay Server foram atacadas e carteiras quentes esvaziadas
Análise em blockchain ligou cerca de US$1,63 milhão a endereços associados ao ataque; projeto pede desligamento de servidores antigos
O BTCPay Server orientou proprietários a desligarem suas instâncias neste domingo após relatos de que invasores estavam acessando contas de administrador e esvaziando hot wallets (carteiras conectadas à internet) em instalações antigas.
A investigação do projeto limitou a campanha a servidores rodando a versão 2.4.1 (23 de julho) ou anteriores e afirmou que não há relatos críveis de saques afetando a versão mais recente, a 2.4.7.
Análises em blockchain rastrearam ao menos 18,38 BTC e 3.405 LTC — o equivalente a cerca de US$1,63 milhão — movendo-se para endereços que o BTCPay identificou; os investigadores dizem que esse valor é um piso e que o total perdido é desconhecido.
O BTCPay e provedores de hospedagem recomendam que operadores afetados preservem logs, reconstruam a instância em um servidor novo com uma carteira nova (porque atualizações podem não remover o acesso do invasor) e comuniquem incidentes para security@btcpayserver.org.
O caso ressalta que, ao optar por software de pagamento self-hosted, os comerciantes assumem a responsabilidade por aplicar correções e pela custódia das chaves. Isso pode levar lojas a reduzir saldos em hot wallets, transferir fundos para cold storage ou usar serviços hospedados com atualizações gerenciadas.