كشف مشروع BTCPay Server مفتوح المصدر، المتخصص في تمكين التجار من قبول مدفوعات Bitcoin، في 1 نوفمبر 2026 عن تلقيه تقارير تفيد بتعرض محافظ ساخنة على خوادمه لعمليات سحب من قبل مهاجمين غير مصرح لهم. ودعا المشروع عبر منصة X مشغلي الخوادم إلى إيقاف نسخهم فوراً باستخدام الأمر btcpay-down.sh ريثما تكتمل التحقيقات الجارية.
وأوضح المشروع في تحديث لاحق أن التحقيقات حددت مسار هجوم يستهدف النسخ العاملة بالإصدار 2.4.1 الصادر في 23 يوليو 2026 وما قبله، مؤكداً عدم رصد تقارير موثوقة عن اختراقات لدى مشغلي الإصدار الأحدث 2.4.7. وحث فريق التطوير جميع المشغلين على تحديث خوادمهم إلى الإصدار الأخير، مطالباً المتضررين بإرسال تفاصيل الحادثة وسجلات النظام إلى عنوان البريد الإلكتروني security@btcpayserver.org.
وأكد Nicolas Dorier عبر منصة X سلامة الخوادم العامة للمشروع العاملة بالإصدار 2.4.7، مشيراً إلى أن تقارير الاختراق تتركز في الإصدارات السابقة للنسخة 2.4.2. وبيّن أن المهاجم نجح في تسجيل الدخول بصلاحيات مسؤول على تلك النسخ، في حين يواصل الفريق تقصي آلية حدوث ذلك. وأضاف لاحقاً أن التحليلات الأولية أظهرت آثاراً لاستغلال ثغرات في الإصدارات الأقدم، واعداً بنشر تفاصيل تقنية أوفى في تدوينة قادمة.
ورجح المشروع إيقاف مزودي خدمات الاستضافة للنسخ القديمة لعملائهم تلقائياً كإجراء احترازي لمنع استغلالها، موجهاً شكره لشركة LunaNode ومزودين آخرين لسرعة استجابتهم عقب الإعلان الأولي عن الاختراق.
ويُعرف BTCPay Server نفسه على منصة X كمعالج لمدفوعات Bitcoin مجاني ومفتوح المصدر يعتمد على الاستضافة الذاتية دون وسطاء أو رسوم. وتعتمد آلية عمل المحفظة الساخنة فيه على مفتاح مشفر يُخزن في الخادم ذاته لتوقيع المعاملات تلقائياً، وهي ميزة تشير وثائق المشروع صراحة إلى تضمنها مخاطر أمنية محتملة.
وكان المشروع قد أعلن في 10 أغسطس الماضي عن استغلال ثغرة أمنية لسرقة أموال مستخدمين، حيث مكنت المهاجمين من استخراج بيانات اعتماد LND admin macaroon والوصول إلى محافظ LND المرتبطة بها، وتمت معالجتها آنذاك عبر الإصدار 2.4.2. ولم يؤكد الفريق حتى اللحظة وجود رابط مباشر بين حوادث نوفمبر الجارية وتلك الثغرة السابقة.
وصدر التحديث 2.4.7 في 29 أكتوبر الماضي، وتضمنت وثائق إصداره على منصة GitHub معالجة 85 ثغرة أمنية اكتُشفت عبر فحص برنامج OSS Scanner التابع لشركة Anthropic، وصُنفت الثغرات بين واحدة حرجة، و13 عالية الخطورة، و52 متوسطة، و19 منخفضة. وأوصت الملاحظات حينها بتطبيق التحديث فوراً، وتحديداً للخوادم المشتركة بين عدة تجار، دون الإشارة إلى أي ارتباط بين هذه الإصلاحات وعمليات السحب الأخيرة.
ولم يكشف المشروع حتى الآن عن القيمة الإجمالية للأموال المسروقة، أو النطاق الفعلي للخوادم المتضررة، أو التقنية الدقيقة التي وظفها المهاجم لتنفيذ الاختراق.
