Gli operatori di BTCPay Server, il processore di pagamenti Bitcoin open source che commercianti e aziende installano sui propri server, hanno ricevuto nella notte tra domenica 1 e lunedì 2 novembre un invito insolito: spegnere subito le istanze. Il progetto ha infatti ricevuto segnalazioni di hot wallet svuotati da attaccanti non autorizzati. Alcune ore dopo l’indagine ha ristretto il problema alle installazioni con la versione 2.4.1 o precedenti, mentre per l’ultima release, la 2.4.7, il team dice di non avere segnalazioni credibili di furti.
Cosa è successo: l’allarme e lo spegnimento dei server
Il primo avviso è arrivato domenica alle 23:25 ora italiana sull’account ufficiale del progetto su X: «Stiamo ricevendo segnalazioni di hot wallet su server BTCPay svuotati da attaccanti non autorizzati. Se gestite un’istanza, spegnetela (./btcpay-down.sh) finché non avremo completato l’indagine». In quel momento l’invito valeva per tutti, senza distinzione di versione.
Secondo CoinDesk, il progetto non ha indicato l’importo sottratto né il numero di server colpiti, e questi dati non risultano ancora pubblicati. Il fondatore Nicolas Dorier ha spiegato che sui server compromessi l’attaccante ha effettuato l’accesso come amministratore, ma che non è ancora chiaro come abbia ottenuto quelle credenziali. Il progetto ha annunciato un post sul blog con maggiori dettagli.
Quali versioni di BTCPay Server sono coinvolte
Alle 5:07 di lunedì il team ha pubblicato un aggiornamento: l’indagine ha individuato un vettore di attacco che prende di mira le istanze con la versione 2.4.1, rilasciata il 23 luglio 2026, o più vecchie. Per chi usa la 2.4.7 non ci sono segnalazioni credibili di wallet svuotati. Dorier ha aggiunto che chi ha aggiornato almeno una volta dopo il rilascio della 2.4.2 «non ha motivo di farsi prendere dal panico» e che gli hot wallet dei server pubblici del progetto non sono stati toccati.
Alcuni fornitori di hosting si sono mossi in autonomia: il progetto avverte che chi usa BTCPay Server tramite un provider potrebbe trovare la propria istanza già spenta, misura presa per evitare che le versioni vecchie venissero sfruttate. Tra i provider ringraziati pubblicamente c’è LunaNode.
La versione 2.4.7, pubblicata su GitHub il 29 ottobre, corregge 85 problemi di sicurezza (uno critico, 13 di gravità alta) emersi da una scansione del codice condotta con il programma OSS Scanner di Anthropic. Le fonti consultate non collegano però questi bug agli attacchi in corso, che secondo il team riguardano versioni precedenti alla 2.4.2.
Perché gli hot wallet sono il punto debole
In un hot wallet la seed phrase, cioè il segreto che consente di spendere i fondi, è conservata sul server stesso, collegato a Internet, così che BTCPay possa firmare i pagamenti in automatico. Come ricorda CoinDesk, la documentazione del progetto segnala questa funzione con l’etichetta «DANGER»: chi prende il controllo del server può spostare le monete verso un proprio indirizzo. E poiché ogni commerciante ospita il software in autonomia, non esiste un interruttore centrale: per questo il progetto ha dovuto chiedere a ciascun operatore di spegnere il proprio server.
Non è il primo episodio di quest’anno. Ad agosto BTCPay aveva confermato furti tramite una falla delle versioni precedenti alla 2.4.2, che permetteva di sottrarre i file di credenziali di LND, il software dei nodi Lightning, e quindi di controllare il nodo e i suoi fondi. Il caso si aggiunge a una settimana difficile per le criptovalute, dopo l’hack di Binance da 6 miliardi attribuito dall’FBI alla Corea del Nord e l’exploit della piattaforma di staking b14g.
Cosa fare se si gestisce un’istanza BTCPay
- Verificare subito la versione installata e aggiornare alla 2.4.7 solo dai canali ufficiali del progetto, prima di riavviare un’istanza spenta.
- Se il server era fermo alla 2.4.1 o a versioni precedenti, è prudente considerarlo compromesso: controllare gli account amministratore e le attività recenti, cambiare password e chiavi API e, se c’era un hot wallet, spostare i fondi residui su un nuovo wallet con una nuova seed.
- Ridurre al minimo il saldo dell’hot wallet e trasferire l’eccedenza su un wallet freddo, con chiavi conservate offline. Lo stesso Dorier invita a non tenere nell’hot wallet più di quanto si è disposti a perdere.
- Conservare i log e, in caso di furto, inviare dettagli e registri a security@btcpayserver.org, come richiesto dal progetto.
- Pianificare aggiornamenti regolari: come mostra anche il caso del vecchio wallet di CoinDCX, l’infrastruttura dimenticata è spesso l’anello debole.
Fonti: BTCPay Server su X (allarme), BTCPay Server su X (aggiornamento), BTCPay Server su X (hosting provider), Nicolas Dorier su X, BTCPay Server 2.4.7 su GitHub, CoinDesk, BeInCrypto, crypto.news.
