BTCPay Server bị lỗ hổng bảo mật khiến ví nóng bị đánh cắp, chính thức khuyến nghị khẩn cấp người dùng phiên bản cũ tắt máy chủ và di chuyển

Tin tức BlockBeats, ngày 5 tháng 11, công cụ xử lý thanh toán Bitcoin mã nguồn mở BTCPay Server đã nhận được nhiều báo cáo vào ngày 1 tháng 11, cho biết ví nóng Bitcoin và Litecoin trên nền tảng của họ đang bị đánh cắp tiền trái phép. Ngày 2 tháng 11, nhóm dự án đã phát hành bản cập nhật điều tra, xác nhận cuộc tấn công nhắm vào các máy chủ chạy phiên bản BTCPay Server 2.4.1 (phát hành ngày 23 tháng 7 năm 2026) hoặc các phiên bản cũ hơn, kẻ tấn công đã lợi dụng một lỗ hổng đã được sửa trong phiên bản 2.4.2 phát hành ngày 7 tháng 8.

Điều tra cho thấy, kẻ tấn công đã lợi dụng lỗ hổng của phiên bản cũ này thông qua nhiều phương pháp khác nhau, giành được quyền quản trị viên của máy chủ và làm rỗng số tiền trong ví nóng. Sau khi phát hiện bất thường, BTCPay Server đã phát hành cảnh báo khẩn cấp vào ngày 1 tháng 11, khuyến nghị tất cả người vận hành instance tạm thời đóng máy chủ để phối hợp điều tra. Người sáng lập Nicolas Dorier sau đó xác nhận, chỉ các máy chủ chạy phiên bản trước 2.4.2 (đặc biệt là 2.4.1) bị ảnh hưởng, trong khi người dùng chạy phiên bản mới nhất 2.4.7 không có báo cáo tổn thất đáng tin cậy. Một số nhà cung cấp dịch vụ bị ảnh hưởng, như LunaNode, đã tự động đóng các instance phiên bản cũ có rủi ro để ngăn chặn tổn thất lan rộng.

Đối với sự cố này, phía chính thức đã đưa ra hướng dẫn khôi phục rõ ràng: chỉ cập nhật phiên bản phần mềm là không đủ để loại bỏ rủi ro, vì kẻ tấn công có thể đã có được quyền truy cập lâu dài trên máy chủ cũ. Chính thức khuyến nghị mạnh mẽ tất cả người dùng vẫn đang sử dụng phiên bản 2.4.1 hoặc cũ hơn (bao gồm cả những người dùng chỉ nâng cấp sau cảnh báo ngày 1 tháng 11), ngay lập tức thực hiện các biện pháp sau: Đầu tiên, chuyển số tiền còn lại trong ví nóng cũ sang một ví mới được tạo bằng cụm từ ghi nhớ hoàn toàn mới; Thứ hai, ngừng hoạt động máy chủ cũ và giữ lại nhật ký liên quan để điều tra; Cuối cùng, cài đặt phiên bản mới nhất trên một máy ảo hoàn toàn mới và kết nối với ví mới, tuyệt đối không khôi phục toàn bộ máy chủ cũ sang máy mới.

Đáng chú ý là, số tiền được lưu trữ bên ngoài máy chủ (như ví phần cứng) không bị ảnh hưởng bởi sự cố này, chính thức vẫn khuyến nghị các thương nhân áp dụng phương thức thu tiền an toàn hơn này. Lỗ hổng này có liên quan đến lỗ hổng đã được sửa vào tháng 8 năm nay, khi đó kẻ tấn công đã thao túng node bằng cách giành được thông tin xác thực quản trị của LND (tiến trình daemon mạng Lightning). Mặc dù lỗ hổng này có tác động nghiêm trọng, nhưng tính đến nay, nó chưa được gán số CVE và cũng không nằm trong danh mục lỗ hổng đã biết bị khai thác của CISA.