BTCPay Server ha lanciato un allarme di sicurezza dopo aver rilevato lo sfruttamento attivo di una vulnerabilità critica. Il problema può mettere a rischio i fondi custoditi attraverso i server del servizio.
Gli sviluppatori invitano ad aggiornare immediatamente alla versione 2.4.2 oppure, in alternativa, a spegnere il server fino all’installazione della patch.
Nuovo allarme per la sicurezza dell’infrastruttura Bitcoin.
BTCPay Server, piattaforma open source e self-hosted utilizzata per gestire pagamenti in Bitcoin e integrazioni con la Lightning Network, ha comunicato che una vulnerabilità critica è attualmente sfruttata da soggetti malevoli.
L’avviso riguarda in particolare gli amministratori che gestiscono autonomamente un’istanza BTCPay Server. Secondo il progetto, un attacco riuscito può arrivare fino alla compromissione dei fondi.
BTCPay Server: aggiornamento urgente alla versione 2.4.2
La raccomandazione principale degli sviluppatori è chiara: installare al più presto BTCPay Server 2.4.2.
Gli amministratori possono verificare l’avvenuto aggiornamento dal pannello di gestione, accedendo alla sezione dedicata alla manutenzione del server e controllando che nel footer sia riportata la versione 2.4.2.
Per chi non fosse in grado di applicare immediatamente la correzione, BTCPay Server suggerisce una misura ancora più drastica: spegnere il servizio, così da impedire eventuali accessi non autorizzati fino a quando l’aggiornamento non sarà completato.
La vulnerabilità è stata segnalata dal Bitcoin Red Team, gruppo specializzato nell’individuazione di problemi di sicurezza all’interno di progetti open source legati all’ecosistema Bitcoin.
A rischio anche credenziali e wallet
L’aggiornamento del software non è l’unica precauzione indicata dal progetto.
BTCPay Server raccomanda infatti agli utenti di ricreare o sostituire i macaroons e il relativo file macaroons.db, oltre a rinnovare le stringhe utilizzate per l’autenticazione degli altri backend Lightning.
Particolare attenzione viene richiesta agli utenti che hanno generato un hot wallet on-chain direttamente attraverso BTCPay Server. In questo caso, il consiglio è di trasferire i fondi verso un portafoglio sicuro e procedere successivamente alla ricreazione del wallet.
L’obiettivo è ridurre il rischio che eventuali credenziali compromesse possano essere utilizzate dagli aggressori anche dopo l’installazione della patch.
Alcuni nodi Bitcoin Lightning risultano già svuotati
Al momento non è stato comunicato un bilancio complessivo dei danni provocati dall’attacco. BTCPay Server non ha inoltre fornito dettagli tecnici completi sulla vulnerabilità, né indicato pubblicamente quanti server siano stati compromessi.
Sono tuttavia emersi casi concreti di fondi sottratti.
Zack Herbert, cofondatore e CEO di Foundation, ha riferito che il nodo della società è stato svuotato durante la notte. Anche il nodo Lightning di Citadel 21, associato all’utente Hodlonaut, sarebbe stato colpito.
Nel secondo caso, la quantità di Bitcoin presente sul nodo era limitata proprio per ragioni di sicurezza e per le cautele adottate in relazione al possibile sviluppo di BIP-110.
Questi episodi alimentano il sospetto che l’operazione non sia un attacco casuale, ma possa essere indirizzata verso infrastrutture utilizzate da utenti particolarmente attivi nell’ecosistema Bitcoin.
Un nuovo problema dopo il caso Coldcard
L’allarme arriva in un momento particolarmente delicato per la sicurezza dell’ecosistema Bitcoin.
Poco tempo prima, un attacco aveva coinvolto Coldcard, con perdite che, secondo le stime citate da Galaxy Research, avrebbero superato i 1.700 BTC. Il collegamento tra i due episodi non è stato stabilito, ma la sequenza di incidenti sta aumentando l’attenzione sulle infrastrutture self-hosted utilizzate dagli utenti più esperti.
BTCPay Server rappresenta infatti uno degli strumenti più utilizzati da chi vuole accettare pagamenti in Bitcoin senza affidarsi a un processore centralizzato. La possibilità di gestire autonomamente server, wallet e pagamenti costituisce uno dei principali punti di forza del progetto, ma comporta anche la responsabilità di mantenere l’infrastruttura costantemente aggiornata.