ผู้โจมตีได้รับสิทธิ์ผู้ดูแลระบบใน BTCPay Server รุ่นเก่าและกวาดเงินจาก hot wallet โดยมีร่องรอยชี้ไปยังช่องโหว่ที่เกิดขึ้นก่อนการอัปเดตเมื่อเดือนสิงหาคม
ความเสียหายเกิดกับผู้ดำเนินการที่ไม่เคยอัปเดตระบบ และทีมงานยังไม่เปิดเผยจำนวนเงินที่สูญเสียทั้งหมด BTCPay Server เป็นโปรเซสเซอร์การชำระเงินแบบโอเพนซอร์สและใช้ฟรีที่ผู้ค้าโฮสต์เองเพื่อรับบิทคอยน์ ในรูปแบบ hot wallet เซิร์ฟเวอร์จะเก็บ private key เอง ส่งผลให้ซอฟต์แวร์สามารถส่งเงินได้โดยที่ผู้ดำเนินการไม่ต้องลงนามในแต่ละธุรกรรม ดังนั้นผู้ที่มีสิทธิ์ผู้ดูแลระบบในเซิร์ฟเวอร์เช่นนี้จึงสามารถย้าย coin ได้
ผู้โจมตีมุ่งเป้าไปที่เวอร์ชันใด?
ทีมงาน BTCPay Server ได้แจ้งเตือน เหตุการณ์ ในช่วงค่ำของวันที่ 1 พ.ย. โดยขอให้ผู้ดำเนินการทุกรายปิดเซิร์ฟเวอร์ของตนจนกว่าการสืบสวนจะเสร็จสิ้น
จากนั้นทีมงานได้จำกัดขอบเขตของปัญหา จุดโจมตีนี้กระทบกับเวอร์ชัน 2.4.1 ที่ออกเมื่อวันที่ 23 ก.ค. 2026 และรุ่นก่อนหน้า ขณะเดียวกันทีมงานระบุว่ายังไม่มีรายงานที่น่าเชื่อถือเกี่ยวกับการสูญเสียในเวอร์ชัน 2.4.7 ที่ใช้ปัจจุบัน
Nicolas Dorier ผู้ก่อตั้ง กล่าวว่า ผู้โจมตีล็อกอินเป็นผู้ดูแลระบบในเซิร์ฟเวอร์ที่ได้รับผลกระทบ ทั้งที่ทีมงานยังไม่ทราบวิธีการที่แน่ชัด ขณะนี้การสืบสวนพบร่องรอยของช่องโหว่ที่เกิดขึ้นก่อนเวอร์ชัน 2.4.2
การละเมิดในครั้งนี้นับเป็นอย่างน้อยครั้งที่สองในรอบสามเดือนซึ่งผู้โจมตีได้ขโมยเงินจาก BTCPay Server ที่รันเวอร์ชันต่ำกว่า 2.4.2 โดยในรุ่น 2.4.2 นั้นได้ อุดช่องโหว่สำคัญ ไปเมื่อเดือนสิงหาคม ซึ่งช่องโหว่ดังกล่าวเปิดโอกาสให้ผู้โจมตีควบคุมจากระยะไกลเพื่อดึงข้อมูล Lightning node และกวาดเงินจาก wallet ที่เชื่อมต่อ
แม้ในเวลานั้น ช่องโหว่ดังกล่าวก็ ถูกใช้งานโจมตีอยู่แล้ว
Hot Wallet ของ BTCPay Server คุ้มค่ากับความเสี่ยงหรือไม่?
ผู้ให้บริการโฮสติ้งต่างก็รับมืออย่างรวดเร็วเช่นกัน ทีมงานระบุว่า LunaNode และผู้ให้บริการรายอื่นอาจปิดเซิร์ฟเวอร์ของลูกค้าโดยอัตโนมัติเพื่อป้องกันโจมตีในรุ่นเก่า
Dorier เองใช้เวอร์ชัน 2.4.7 กับ hot wallet อย่างไรก็ตาม ผู้ก่อตั้งเตือนว่าอย่าเก็บเงินจำนวนมากในเซิร์ฟเวอร์ใดๆ
อย่าใส่เงินใน hot wallet เกินจำนวนที่พร้อมจะสูญเสีย เราไม่สามารถรับรองได้ว่ามันจะไม่เกิดขึ้นอีก
Nicolas Dorier, X
เหตุการณ์นี้สอดคล้องกับแนวโน้มที่กว้างขึ้นในโครงสร้างพื้นฐานของ Bitcoin ที่โฮสต์ด้วยตนเอง โดย Core Lightning เพิ่งเตือนว่าผู้โจมตีมุ่งเป้าไปที่โหนดที่ยังไม่ได้รับการอัปเดต ในทั้งสองกรณี วิธีแก้ปัญหาได้มีอยู่ก่อนเกิดการโจรกรรม ดังนั้นจุดอ่อนที่สุดก็คือผู้ดูแลที่ติดตั้ง BTCPay Server เพียงครั้งเดียวและไม่เคยอัปเดตเลย
