BTCPay Server, ferramenta de pagamentos em Bitcoin amplamente usada por comerciantes, está sob ataque ativo. Hackers exploraram uma vulnerabilidade crítica para drenar carteiras hot e nós da rede Lightning, e os desenvolvedores pedem que instâncias desatualizadas sejam desligadas imediatamente.
A seguir:
- Como a vulnerabilidade funciona e quais versões estão expostas
- O que os desenvolvedores recomendam para proteger os fundos
- O contexto da falha e o histórico de ataques à infraestrutura Bitcoin
O BTCPay Server é um processador de pagamentos em Bitcoin autogerenciado: o comerciante roda o software no próprio servidor, aceita pagamentos e mantém a custódia dos fundos sem intermediários. Exatamente esse modelo, que elimina terceiros, torna o servidor um alvo direto quando há uma brecha de segurança.
A falha explorada nos ataques mais recentes envolve o arquivo de credencial de administrador do LND, chamado macaroon. Quem obtém esse arquivo assume controle total sobre o nó Lightning vinculado ao servidor e pode mover os fundos para endereços externos sem qualquer interação do comerciante.
Segundo a análise publicada no relatório técnico sobre o incidente, a brecha afeta servidores que usam LND e rodam versões anteriores à 2.4.2. A recomendação oficial é atualizar para a versão 2.4.2 imediatamente ou suspender o servidor até que a atualização seja aplicada.
O BTCPay Server orienta operadores a desligar as instâncias após relatos de carteiras esvaziadas. A ferramenta armazena a semente no servidor e a usa para assinar e aprovar pagamentos automaticamente, o que significa que um atacante com acesso ao ambiente consegue movimentar os fundos sem precisar da senha do comerciante.
Como a exploração acontece na prática
O BTCPay Server, quando configurado com carteira hot, guarda localmente a chave necessária para assinar transações. O sistema foi desenhado para automatizar pagamentos recebidos, mas a mesma lógica serve ao atacante: basta obter o macaroon de administrador do LND para ter autoridade sobre o nó.
De acordo com o comunicado oficial do BTCPay Server, a vulnerabilidade permitiu que um agressor obtivesse esse arquivo de credencial e, a partir dele, esvaziasse o canal Lightning sem deixar rastro imediato para o comerciante. O incidente afetou usuários que ainda não haviam migrado para a versão 2.4.2, lançada como correção de emergência.
A Bitcoin Foundation documentou que as perdas estão associadas a versões 2.4.1 e anteriores. Servidores configurados apenas com carteiras frias, sem nó Lightning ativo, apresentam perfil de risco distinto, já que a semente não fica exposta no ambiente online.
O ponto de falha foi, portanto, a camada de software do servidor, não o protocolo Bitcoin em si. Isso explica por que comerciantes com carteiras frias desconectadas do servidor estão fora do perímetro imediato da brecha.
O que fazer agora se você usa BTCPay Server
A orientação dos desenvolvedores é objetiva: quem roda qualquer versão anterior à 2.4.2 deve atualizar para a versão final da série 2.4.2 antes de recolocar o servidor em produção. Caso a atualização não seja possível de imediato, a recomendação é desligar a instância para interromper a janela de exposição.
Além da atualização de software, o blog oficial do BTCPay Server indica a rotação de credenciais após o incidente, o que inclui revogar e regenerar o macaroon do LND. Manter o arquivo de credencial antigo ativo, mesmo depois de atualizar o software, deixa a porta entreaberta caso o arquivo já tenha sido copiado pelo atacante.
Comerciantes que operam com grandes volumes em carteiras hot e nós Lightning devem também auditar o histórico de transações para identificar movimentações não autorizadas ocorridas antes da aplicação do patch. O comunicado do BTCPay Server detalha os próximos passos e o cronograma de resposta da equipe.
Contexto: BTCPay e a infraestrutura Bitcoin sob pressão
Este não é o primeiro ciclo de ataques ao BTCPay Server. A equipe já havia corrigido uma falha crítica que drenava nós Lightning em rodada anterior, quando a recomendação de atualização emergencial já havia sido emitida para a base de usuários.
O incidente atual ocorre num momento de pressão mais ampla sobre a infraestrutura de pagamentos em Bitcoin. Em agosto, o Zeus LN registrou um ataque à própria infraestrutura, conforme post-mortem publicado pela equipe do aplicativo.
Também naquele período, uma vulnerabilidade diferente afetou o Coinkite, em falha que, segundo a cobertura de época, também não dependeu de acesso físico ao dispositivo.
A combinação de nós Lightning autogerenciados, carteiras hot e servidores com credenciais expostas forma uma superfície de ataque atraente. O modelo de autocustódia elimina o risco de contraparte de uma exchange centralizada, mas transfere integralmente para o operador a responsabilidade de manter o software atualizado e as credenciais protegidas.
Quando a atualização não acontece, a janela de exposição pode durar dias ou semanas, tempo suficiente para que atacantes que conhecem a brecha a explorem sistematicamente.
Perguntas frequentes
Meus fundos estão em risco se eu uso BTCPay Server com carteira fria?
Carteiras frias desconectadas do servidor têm perfil de risco diferente, já que a semente não fica exposta no ambiente online. A vulnerabilidade confirmada afeta principalmente quem usa carteiras hot e nós Lightning com versões anteriores à 2.4.2. Mesmo assim, atualizar o software é recomendado para todos os operadores.
Preciso rotacionar credenciais mesmo que não tenha perdido fundos?
Sim. O blog oficial do BTCPay Server recomenda revogar e regenerar o macaroon de administrador do LND após a atualização, independentemente de ter ocorrido perda. Se o arquivo foi copiado antes da aplicação do patch, mantê-lo ativo continua sendo um risco mesmo com o software já atualizado.
A versão 2.4.2 resolve completamente o problema?
A versão 2.4.2 foi lançada como correção de emergência e é a versão indicada pelos desenvolvedores para eliminar a brecha explorada nos ataques ativos. Operadores que já rodavam a 2.4.2 antes dos ataques mais recentes não aparecem nos relatos de perda confirmados até o momento.
