हमलावरों ने आउटडेटेड BTCPay Server इंस्टेंस पर एडमिन एक्सेस हासिल कर ली और उनके हॉट वॉलेट्स को खाली कर दिया। जांच में पता चला है कि इसमें अगस्त के पैच से पहले की खामियां हैं।
इस नुकसान का असर उन ऑपरेटर्स पर पड़ा है, जिन्होंने अपने सर्वर अपडेट नहीं किए थे। टीम ने अभी तक कुल नुकसान का खुलासा नहीं किया है। BTCPay Server एक मुफ्त, ओपन-सोर्स पेमेंट प्रोसेसर है, जिसे मर्चेंट्स खुद होस्ट करते हैं ताकि वे Bitcoin स्वीकार कर सकें। हॉट वॉलेट सेटअप में सर्वर खुद प्राइवेट कीज को स्टोर करता है, जिससे सॉफ्टवेयर बिना ऑपरेटर के हर ट्रांजैक्शन को साइन किए फंड सेंड कर सकता है। नतीजतन, अगर किसी के पास ऐसे सर्वर की एडमिन एक्सेस है तो वह उसके कॉइन्स ट्रांसफर कर सकता है।
हमलावरों ने कौन-सी वर्जन को टारगेट किया?
BTCPay Server टीम ने पहली बार अलार्म 1 नवंबर को रात में बजाया था। इसमें सभी ऑपरेटर्स को अपने इंस्टेंस बंद करने की सलाह दी गई, जब तक कि जांच पूरी नहीं होती।
बाद में आई जानकारी ने दायरा सीमित किया। अटैक वेरिएंट BTCPay Server के वर्जन 2.4.1 (जो 23 जुलाई, 2026 को जारी हुआ था) और उससे पुराने सभी वर्जन को टारगेट करता है। टीम का कहना है कि मौजूदा 2.4.7 वर्जन पर अभी तक किसी फंड के ड्रेन होने की विश्वसनीय रिपोर्ट नहीं आई है।
Founder Nicolas Dorier ने कहा कि अटैकर प्रभावित सर्वर्स पर एडमिन के रूप में लॉग इन हुआ था, लेकिन टीम अभी तक यह नहीं समझ पाई है कि कैसे। जांच में अब तक वे कमजोरियां मिली हैं, जो वर्जन 2.4.2 से पहले थी।
यह सिक्योरिटी ब्रीच पिछले तीन महीनों में कम से कम दूसरी बार है, जब हमलावरों ने 2.4.2 से पुराने BTCPay Server इंस्टेंस से फंड्स चुराए हैं। अगस्त में जारी वर्जन 2.4.2 ने एक गंभीर खामी को पैच किया था, जिससे रिमोट अटैकर्स Lightning node क्रेडेंशियल्स हासिल कर सकते थे और कनेक्टेड वॉलेट्स ड्रेन कर सकते थे।
उस समय भी, यह बग एक्टिव एक्सप्लॉइटेशन में था।
क्या BTCPay Server हॉट वॉलेट रखना रिस्की है?
हॉस्टिंग प्रोवाइडर्स ने भी तुरंत एक्शन लिया। LunaNode और कुछ अन्य ने शायद अपने ग्राहकों की इंस्टेंस ऑटोमैटिकली बंद कर दी, ताकि पुराने वर्जन पर अटैक रोका जा सके, टीम ने बताया।
Dorier खुद वर्जन 2.4.7 के साथ हॉट वॉलेट चला रहे हैं। फिर भी, फाउंडर ने वार्निंग दी कि किसी भी सर्वर में बड़ी रकम न रखें।
हॉट वॉलेट में उतना ही रखो, जितना खोने के लिए तैयार हो। हम गारंटी नहीं दे सकते की ये फिर दोबारा नहीं होगा।
Nicolas Dorier, X
यह घटना सेल्फ-होस्टेड Bitcoin इन्फ्रास्ट्रक्चर में देखे जाने वाले एक बड़े पैटर्न के अनुरूप है। हाल ही में Core Lightning ने चेतावनी दी थी कि अटैकर गैर-अपडेटेड नोड्स को टारगेट कर रहे हैं। दोनों ही मामलों में, चोरी से पहले ही फिक्स मौजूद था, इसलिए सबसे कमज़ोर कड़ी वह ऑपरेटर था जिसने एक बार BTCPay Server instance इंस्टॉल किया और फिर कभी उसे अपडेट नहीं किया।
