Проект BTCPay, инструмент для приёма платежей в Биткоине, рекомендовал пользователям отключить серверы после появления сообщений о краже средств из кошельков. Команда пока не назвала сумму потерь и не выпустила исправление, а основатель проекта связал инцидент с версиями старше 2.4.2.
Почему компрометация сервера BTCPay угрожает средствам продавцов
BTCPay — это некастодиальный процессор платежей: продавец сам хранит приватные ключи, а сервер лишь помогает принимать транзакции. Именно поэтому компрометация серверной части потенциально открывает доступ к средствам, если злоумышленник получает контроль над окружением.
По словам основателя проекта, тревожные отчёты касаются версий BTCPay старше 
BTC$78,021+0.06%2.4.2. Точный механизм атаки и масштаб ущерба пока не раскрыты — расследование продолжается.
Ситуация напоминает недавнее предупреждение Trezor о возможном импланте в устройствах CryptoBilis, когда под угрозой оказались ключи пользователей.
Проект официально подтвердил, что изучает сообщения об опустошении кошельков, но ещё не назвал ни сумму потерь, ни сроки выхода патча.
Что команда советует владельцам инсталляций
Пока идёт разбирательство, команда BTCPay советует не держать серверы включёнными. Владельцам инсталляций стоит проверить версию ПО и оценить, какие ключи и средства были доступны на затронутом сервере.
- Отключить серверы BTCPay до выяснения обстоятельств.
- Проверить, какая версия ПО установлена: безопасной считается 2.4.2 и новее.
- При необходимости переместить средства на кошелёк с приватными ключами, не связанный с сервером.
Стоит учитывать, что отключение сервера само по себе не гарантирует сохранность средств, если ключи уже скомпрометированы. После выхода исправления потребуется обновление и аудит конфигурации.
Риски самостоятельного хостинга и что делать продавцам
Инцидент напоминает о рисках самостоятельного хостинга платёжной инфраструктуры. BTCPay ценится за независимость от посредников, но требует от оператора навыков администрирования и внимания к обновлениям.
Проект пока не раскрыл ни вектор атаки, ни число пострадавших. Для продавцов, принимающих Биткоин через BTCPay, это сигнал проверить версии и резервные копии, а также пересмотреть доступ к серверам.
BTCPay — открытый проект для приёма платежей в Биткоине без посредников; пользователи самостоятельно разворачивают сервер и хранят ключи.
Дальнейшее развитие зависит от того, удастся ли команде быстро локализовать проблему и выпустить патч. До этого момента осторожность остаётся главной рекомендацией.