Sinusuportahan ng mga tagasuporta ng BTCPay Server ang isang recovery bounty na katumbas ng 10% ng mga pondo na nakuha mula sa kamakailang Lightning wallet exploit, kung saan ang gantimpala ay limitado sa 3 BTC kung lahat ng nakaw na asset ay mababawi.

Sinabi ng proyekto ng BTCPay Server noong Lunes na ang bounty ay bahagi ng tugon nito sa isang kritikal na depekto sa seguridad na naglantad ng LND administrator credentials sa mga mahina na instalasyon, ilang araw matapos sabihin sa mga gumagamit na agad mag-upgrade sa bersyon 2.4.2.

Hindi isiniwalat ng open-source Bitcoin payment processor kung gaano karaming cryptocurrency ang nanakaw o kung gaano karaming server ang nakompromiso. Gayunpaman, ilang apektadong gumagamit, kabilang ang Foundation at Citadel21, ang nag-ulat na ang mga pondo na hawak sa kanilang mga Lightning node ay naubos.

Sinabi ng BTCPay na naapektuhan ng vulnerability ang lahat ng release bago ang bersyon 2.4.2, kabilang ang mga release candidate na bersyon ng 2.4.2. Ang depekto ay nagpahintulot sa isang umaatake na makakuha ng LND admin macaroon credentials mula sa mga exposed na BTCPay instance at pagkatapos ay ma-access ang mga wallet na konektado sa mga apektadong Lightning node.

Ang isang macaroon ay gumagana bilang isang authentication credential para sa isang Lightning node, kung saan ang isang administrator macaroon ay nagbibigay ng malawak na pahintulot sa nauugnay na wallet. Ang access sa mga credential na iyon ay maaaring magpahintulot sa isang hindi awtorisadong partido na kontrolin ang mga pondo na hawak sa pamamagitan ng apektadong LND setup.

Naayos ang exploit ng BTCPay Server sa bersyon 2.4.2

Matapos matuklasan, inilabas ng BTCPay ang huling bersyon ng 2.4.2 na may pag-aayos para sa vulnerability at hinimok ang mga operator na gumagamit ng mas lumang bersyon na i-update ang kanilang mga server.

Sinabi ng proyekto na ang isyu sa seguridad ay partikular sa mga LND credential at hindi naglantad ng mga gumagamit na nagpapatakbo ng iba pang Lightning implementation sa pamamagitan ng parehong ruta ng pag-atake. Hindi rin naapektuhan ng isyu sa LND credential ang mga operator na hindi gumagamit ng Lightning, bagama't inirekomenda ng BTCPay na i-install ng lahat ng gumagamit ang pinakabagong release.

Hindi nakompromiso ang mga onchain wallet ng BTCPay sa pamamagitan ng vulnerability, kabilang ang mga onchain hot wallet na pinapanatili ng mga gumagamit ng software, ayon sa proyekto.

Nililimitahan ng pagkakaiba ang kilalang ruta ng pag-atake sa mga konektadong LND wallet sa halip na ang buong saklaw ng mga pondo ng Bitcoin na maaaring pamahalaan sa pamamagitan ng isang instalasyon ng BTCPay.

Bagama't hindi pa naglalabas ng mga numero ang BTCPay para sa mga pagkalugi, kinumpirma ng mga ulat mula sa mga indibidwal na gumagamit na nagresulta sa mga nakaw na pondo ang exploit. Naghahanda ang proyekto ng isang buong postmortem na inaasahang magbibigay ng mas maraming impormasyon tungkol sa vulnerability at sa tugon.

Nagsimula na rin ang BTCPay na magpakilala ng mas mahigpit na mga pamamaraan sa code-scanning at review sa tulong ng ilang panlabas na organisasyon.

Kasunod ng tugon ang isang mahirap na taon para sa seguridad ng crypto. Noong Abril, iniulat ng crypto.news na nakatala ang CertiK ng higit sa $600 milyon sa pagkalugi ng crypto noong 2026, habang binalaan ng security firm na ang AI-assisted na pag-atake at kahinaan sa imprastraktura ay nagiging mahalagang panganib para sa mga proyekto.

Nakakuha ang mga mananaliksik ng 0.42 BTC para sa pagtuklas ng depekto

Kasama ng recovery bounty, nagbabayad ang BTCPay Server Foundation ng mga gantimpala sa mga mananaliksik na nakatukoy ng vulnerability bago ito isiniwalat sa publiko.

Nagbibigay ang foundation ng 0.21 BTC bawat isa sa Sparrow Wallet developer na si Craig Raw at sa pondo ng Bitcoin Red Team. Natuklasan ni Raw ang isyu sa seguridad at pribadong iniulat ito sa BTCPay, na nagpahintulot sa mga developer na maghanda ng pag-aayos bago naging pampubliko ang mga detalye ng depekto.

Sinabi ni Raw kalaunan na naapektuhan din siya ng exploit.

Ang Bitcoin Red Team ay gumagana bilang isang volunteer security research group kung saan ang mga miyembro ay kinabibilangan nina Rob Hamilton, Calle at Evan Kaloudis. Ang grupo ay nagtatrabaho sa paghahanap at pag-uulat ng mga vulnerability na nakakaapekto sa software na may kaugnayan sa Bitcoin.

Ang desisyon ng BTCPay na tustusan ang parehong mananaliksik ay kasama ng hiwalay na recovery bounty na sinusuportahan ng mga tagasuporta ng proyekto. Sa ilalim ng mga iminungkahing termino, 10% ng matagumpay na nabawing pondo ay maaaring bayaran bilang isang bounty, habang ang isang kumpletong pagbawi ay may pinakamataas na gantimpala na 3 BTC.

Lumitaw din ang mga insentibo sa pagbawi matapos ang iba pang crypto exploit ngayong taon. Noong Hulyo, sinuri ng crypto.news ang mga pagsisikap na mabawi ang humigit-kumulang 16 milyong ADA na kinuha mula sa 374 Cardano wallet sa isang exploit noong huling bahagi ng Hunyo. Naglatag ang EMURGO ng isang proseso upang ibalik ang mga apektadong asset habang ang isang independiyenteng forensic team ay nagsagawa ng hiwalay na imbestigasyon sa insidente.

Maaaring nakatulong ang AI sa pagtuklas ng exploit ng BTCPay Server

Bilang bahagi ng paunang pagtatasa nito, itinaas ng BTCPay ang posibilidad na maaaring gumanap ng papel ang artificial intelligence tools sa paghahanap ng vulnerable code.

Sinabi ng proyekto na ang pagpapabuti ng mga modelo ng AI ay nakapagpababa ng oras at gastos na kinakailangan upang suriin ang malalaking software repository para sa mga kahinaan, na nagbabago sa mga kakayahan na magagamit sa parehong mga umaatake at security researcher.

Ang software ng Bitcoin ay nagpapakita ng isang kaakit-akit na target dahil ang mga mapagsasamantalang kahinaan ay maaaring magbigay ng direktang access sa mga asset, sinabi ng BTCPay, idinagdag na ang ibang bahagi ng industriya ng software ay maaaring kalaunan ay humarap sa mga katulad na problema habang ang AI-based na code analysis ay nagiging mas may kakayahan.

Nagsimula na ang mga alalahanin tungkol sa AI-assisted attacks sa ibang bahagi ng sektor ng crypto. Iniulat ng CertiK noong Hunyo na ang mga crypto hack at exploit ay nagdulot ng $68.3 milyon sa pagkalugi noong Mayo, bumaba ng halos 90% mula sa humigit-kumulang $650 milyon noong Abril, ngunit naitala din ng firm ang pagtaas ng AI-assisted malware na nagta-target ng mga code repository at coding tools, tulad ng dating naiulat ng crypto.news.

Sinuri din ng isang pagsusuri noong Hulyo tungkol sa seguridad ng AI kung paano matukoy at mapagsamantalahan ng mga lalong may kakayahang modelo ang mga kahinaan ng software, na may teknolohiya na dumarating sa isang taon na pinangungunahan na ng malalaking insidente sa seguridad ng crypto.

Ang insidente ng BTCPay ay naiiba sa mga pag-atake na batay pangunahin sa social engineering o nakompromisong signing device dahil ang entry point ay isang software vulnerability na naglantad ng sensitibong LND authentication credentials.

Nagdulot ng katulad na alalahanin sa AI ang Coldcard exploit

Ang pag-atake sa BTCPay ay kasunod ng isa pang malaking insidente sa seguridad ng Bitcoin na kinasasangkutan ng mga Coldcard hardware wallet, kung saan ang pinaghihinalaang paggamit ng AI upang suriin ang mas lumang code ay itinaas din matapos manakaw ang mga pondo.

Hindi bababa sa $116 milyon sa pagkalugi ang nakumpirma mula sa Coldcard exploit sa ngayon. Sinabi ng Coinkite, ang kumpanya sa likod ng Coldcard, na malamang na may gumamit ng AI upang suriin ang mas lumang publicly available na firmware at tukuyin ang kahinaan.

Ang dalawang insidente ay naglagay ng code review sa mas mataas na atensyon sa panahong ang mga umaatake ay lumampas na sa karaniwang mga smart contract vulnerability.

Noong Abril, iniulat ng crypto.news ang higit sa $17 bilyon na nawala sa 518 na dokumentadong crypto hack at exploit sa nakaraang dekada, na binabanggit ang data ng DefiLlama. Natuklasan ng ulat na ang private key leaks, credential theft, phishing at pag-atake laban sa mga wallet at imprastraktura ay naging pangunahing pinagmumulan ng pagkalugi kasama ang mga depekto sa smart contracts.

Hiwalay na tinantya ng Chainalysis na ninakaw ng mga umaatake ang $36.7 milyon mula sa mga unverified, closed-source smart contract sa unang anim na buwan ng 2026 sa pamamagitan ng pag-decompile ng contract bytecode. Tinasa ng blockchain analytics firm na malamang na kasama ang AI sa aktibidad na ito.

Para sa mga gumagamit ng BTCPay, ang agarang lunas ay nananatili ang opisyal na 2.4.2 release. Sinabi ng proyekto na maglalathala ito ng mas detalyadong postmortem sa exploit habang ang bago nitong code-scanning at review procedures ay binuo kasama ang mga panlabas na organisasyon.