Aanvallers kregen admin-toegang tot verouderde BTCPay Server-instanties en haalden daarbij hun hot wallets leeg. Sporen wijzen op kwetsbaarheden die al voor een patch in augustus bestonden.
De schade treft vooral beheerders die hun server nooit hebben geüpdatet. Het team heeft het totale verlies nog niet bekendgemaakt. BTCPay Server is een gratis, open-source betaalverwerker die winkeliers zelf kunnen hosten om Bitcoin te accepteren. In een hot wallet-configuratie bewaart de server zelf de private keys, waardoor de software fondsen kan verzenden zonder dat de operator elke transactie moet ondertekenen. Daardoor kan iedereen met admin-rechten op zo’n server de coins verplaatsen.
Welke versies waren doelwit van de aanvallers
Het BTCPay Server-team sloeg voor het eerst alarm laat op 1 november. Het riep alle beheerders op hun instantie uit te schakelen tot het onderzoek is afgerond.
In een vervolgrapport werd duidelijker wie risico liep. Het aanvalspunt richt zich op versie 2.4.1, uitgebracht op 23 juli 2026, en alles dat ouder is. Het team zegt dat er geen betrouwbare meldingen zijn van diefstal met de huidige 2.4.7-versie.
Oprichter Nicolas Dorier zei dat de aanvaller als admin inlogde op de getroffen servers. Het team weet nog niet precies hoe. Tot nu toe heeft het onderzoek sporen gevonden van kwetsbaarheden die al vóór versie 2.4.2 bestonden.
Dit is minstens de tweede keer in drie maanden dat aanvallers geld hebben gestolen bij BTCPay Server-instanties op versies ouder dan 2.4.2. Die versie lapte een kritieke kwetsbaarheid in augustus, waarmee aanvallers op afstand Lightning node-gegevens konden bemachtigen en gekoppelde wallets konden leegmaken.
Zelfs toen werd de bug al actief misbruikt.
Is een BTCPay Server hot wallet het risico waard
Ook hostingproviders reageerden snel. Volgens het team hebben LunaNode en anderen mogelijk automatisch klant-instanties uitgezet om aanvallen op oudere versies te voorkomen.
Dorier gebruikt zelf versie 2.4.7 met een hot wallet. Toch waarschuwde de oprichter ervoor om geen grote bedragen op welke server dan ook te bewaren.
Zet niet meer in je hot wallet dan je bereid bent te verliezen. We kunnen niet garanderen dat het niet nog een keer gebeurt.
Nicolas Dorier, X
Dit voorval past bij een breder patroon binnen zelf-gehoste Bitcoin-infrastructuur. Core Lightning waarschuwde recent ook dat aanvallers zich richten op niet-gepatchte nodes. In beide gevallen was er al een oplossing voor het probleem, dus de zwakste schakel was een beheerder die een BTCPay Server-installatie had draaien en nooit updates uitvoerde.
