Прихильники BTCPay Server підтримали винагороду за повернення коштів у розмірі 10% від суми, вилученої в результаті недавнього експлойту гаманця Lightning, при цьому винагорода обмежена 3 BTC, якщо всі викрадені активи будуть повернуті.
Проєкт BTCPay Server повідомив у понеділок, що винагорода є частиною його відповіді на критичну вразливість безпеки, яка скомпрометувала адміністративні облікові дані LND на вразливих інсталяціях, через кілька днів після того, як користувачам було наказано негайно оновитись до версії 2.4.2.
Платіжний процесор біткоїнів з відкритим вихідним кодом не розкрив, скільки криптовалюти було викрадено та скільки серверів було скомпрометовано. Однак кілька постраждалих користувачів, включаючи Foundation та Citadel21, повідомили, що кошти, що зберігалися в їхніх вузлах Lightning, були виведені.
BTCPay заявив, що вразливість торкнулася всіх випусків до версії 2.4.2, включаючи кандидатські версії 2.4.2. Недолік дозволив зловмиснику отримати облікові дані адміністратора LND macaroon з відкритих інстанцій BTCPay, а потім отримати доступ до гаманців, підключених до уражених вузлів Lightning.
Macaroon працює як облікові дані для автентифікації для вузла Lightning, при цьому адміністратор macaroon надає широкі дозволи на пов'язаний гаманець. Доступ до цих облікових даних може дозволити несанкціонованій стороні контролювати кошти, що зберігаються через уражену конфігурацію LND.
Після виявлення BTCPay випустив остаточну версію 2.4.2 з виправленням вразливості та закликав операторів, які використовують старіші версії, оновити свої сервери.
Проєкт заявив, що проблема безпеки стосувалася конкретно облікових даних LND і не розкривала користувачів, які використовують інші реалізації Lightning, через той самий шлях атаки. Оператори, які не використовують Lightning, також не постраждали від проблеми з обліковими даними LND, хоча BTCPay рекомендував усім користувачам встановити останній випуск.
Ончейн-гаманці BTCPay не були скомпрометовані через вразливість, включаючи ончейн гарячі гаманці, що підтримуються користувачами програмного забезпечення, згідно з проєктом.
Це розмежування обмежує відомий шлях атаки підключеними гаманцями LND, а не повним спектром біткоїн-коштів, якими можна керувати за допомогою інсталяції BTCPay.
Хоча BTCPay ще не оприлюднив цифри втрат, звіти окремих користувачів підтвердили, що експлойт призвів до викрадення коштів. Проєкт готує повний постмортем, який, як очікується, надасть більше інформації про вразливість та відповідь.
BTCPay також почав впроваджувати суворіші процедури сканування та перегляду коду за допомогою кількох зовнішніх організацій.
Ця відповідь слідує за важким роком для крипто-безпеки. У квітні crypto.news повідомив, що CertiK на той час зафіксував понад 600 мільйонів доларів крипто-втрат у 2026 році, тоді як компанія з безпеки попередила, що атаки з використанням ШІ та слабкі місця в інфраструктурі стають важливими ризиками для проєктів.
Разом із винагородою за повернення коштів, Фонд BTCPay Server Foundation виплачує винагороди дослідникам, які ідентифікували вразливість до того, як вона була публічно розкрита.
Фонд жертвує по 0,21 BTC розробнику Sparrow Wallet Крейгу Рау та фонду Bitcoin Red Team. Рау виявив проблему безпеки та приватно повідомив про неї BTCPay, дозволивши розробникам підготувати виправлення до того, як деталі недоліку стали публічними.
Пізніше Рау заявив, що він також постраждав від експлойту.
Bitcoin Red Team працює як волонтерська група з дослідження безпеки, до складу якої входять Роб Гамільтон, Калле та Еван Калудіс. Група працює над виявленням та повідомленням про вразливості, що впливають на програмне забезпечення, пов'язане з біткоїном.
Рішення BTCPay фінансувати обох дослідників супроводжується окремою винагородою за повернення, підтриманою прихильниками проєкту. Згідно з запропонованими умовами, 10% успішно повернутих коштів можуть бути виплачені як винагорода, тоді як повне повернення передбачатиме максимальну винагороду в розмірі 3 BTC.
Стимули до повернення також з'явилися після інших крипто-експлойтів цього року. У липні crypto.news дослідив зусилля з повернення приблизно 16 мільйонів ADA, викрадених з 374 гаманців Cardano в результаті експлойту наприкінці червня. EMURGO окреслив процес повернення постраждалих активів, тоді як незалежна судова команда провела окреме розслідування інциденту.
В рамках своєї початкової оцінки BTCPay висловив припущення, що інструменти штучного інтелекту могли зіграти роль у виявленні вразливого коду.
Проєкт заявив, що вдосконалення моделей ШІ зменшило час та витрати, необхідні для перевірки великих сховищ програмного забезпечення на наявність слабких місць, змінюючи можливості, доступні як зловмисникам, так і дослідникам безпеки.
Програмне забезпечення біткоїна є привабливою мішенню, оскільки експлуатовані слабкі місця можуть надати прямий доступ до активів, заявив BTCPay, додавши, що інші галузі програмної індустрії з часом можуть зіткнутися з подібними проблемами, оскільки аналіз коду на основі ШІ стає більш потужним.
Стурбованість щодо атак за допомогою ШІ вже виникала в інших частинах крипто-сектору. CertiK повідомив у червні, що крипто-злами та експлойти спричинили втрати на 68,3 мільйона доларів у травні, що майже на 90% менше, ніж приблизно 650 мільйонів доларів у квітні, але фірма також зафіксувала збільшення кількості шкідливого програмного забезпечення за допомогою ШІ, що націлене на сховища коду та інструменти кодування, як раніше повідомлялося crypto.news.
Липневий аналіз безпеки ШІ також досліджував, як все більш потужні моделі можуть ідентифікувати та експлуатувати вразливості програмного забезпечення, при цьому технологія з'явилася в рік, вже dominated by великі крипто-інциденти безпеки.
Інцидент BTCPay відрізняється від атак, заснованих переважно на соціальній інженерії або скомпрометованих пристроях підписання, оскільки точкою входу була програмна вразливість, яка розкрила конфіденційні облікові дані автентифікації LND.
Атака на BTCPay сталася після ще одного великого інциденту безпеки біткоїнів, пов'язаного з апаратними гаманцями Coldcard, де також висловлювалися підозри щодо використання ШІ для перевірки старого коду після викрадення коштів.
Наразі підтверджено щонайменше 116 мільйонів доларів втрат від експлойту Coldcard. Coinkite, компанія, що стоїть за Coldcard, заявила, що вважає ймовірним, що хтось використав ШІ для вивчення старого загальнодоступного програмного забезпечення та виявлення слабкості.
Два інциденти привернули підвищену увагу до перегляду коду в той час, коли зловмисники вже вийшли за межі звичайних вразливостей смарт-контрактів.
У квітні crypto.news повідомив про понад 17 мільярдів доларів, втрачених унаслідок 518 задокументованих крипто-зламів та експлойтів за останнє десятиліття, посилаючись на дані DefiLlama. Звіт показав, що витоки приватних ключів, крадіжка облікових даних, фішинг та атаки на гаманці та інфраструктуру стали основними джерелами втрат поряд з недоліками в смарт-контрактах.
Chainalysis окремо оцінила, що зловмисники викрали 36,7 мільйона доларів з неперевірених, закритих смарт-контрактів протягом перших шести місяців 2026 року шляхом декомпіляції байт-коду контракту. Фірма з аналізу блокчейну припустила, що ШІ, швидше за все, брав участь у цій діяльності.
Для користувачів BTCPay негайним рішенням залишається офіційний випуск 2.4.2. Проєкт заявив, що опублікує більш детальний постмортем щодо експлойту, тоді як його нові процедури сканування та перегляду коду розробляються із зовнішніми організаціями.
ADA
BTC