Btcpay Server — это программное обеспечение с открытым исходным кодом, позволяющее продавцам принимать платежи в биткойнах ($BTC) без привлечения традиционных платежных посредников. Операторы могут самостоятельно размещать программное обеспечение и управлять собственной инфраструктурой кошельков. Такая независимость влечет за собой ответственность.
На момент публикации разработчики не раскрыли ни общее количество похищенных биткойнов, ни количество пострадавших продавцов. В первоначальном предупреждении также не было подтверждённой информации о том, как злоумышленники впервые проникли в скомпрометированные системы.
Основатель указывает на старые версии по мере сужения круга расследования
Основатель Btcpay Server Николя Дорье впоследствии дал более конкретное объяснение. Его предварительные выводы указывают на то, что на затронутых установках работало программное обеспечение версий, предшествующих версии 2.4.2. Сообщается, что злоумышленники получили доступ с правами администратора, а следы, обнаруженные в ходе криминалистической экспертизы, указывают на уязвимости, присутствующие в этих старых версиях.
Дорье также указал, что публичные и демонстрационные серверы, работающие под управлением версии 2.4.7, не подверглись атаке. Это различие опровергает версию о том, что сама последняя экстренная версия могла стать причиной заявленного взлома. Однако это не означает, что все текущие установки защищены, и следователи пока не опубликовали полный технический отчет.
Ранее, в августе, в рамках проекта была устранена отдельная уязвимость, позволявшая неавторизованным злоумышленникам получать учетные данные macaroon Lightning Network Daemon (LND), которые функционируют в качестве токенов авторизации. Эта уязвимость была исправлена в версии 2.4.2. Разработчики ранее заявляли, что собственные ончейн-кошельки Btcpay не подвергались риску из-за этой конкретной уязвимости.
Остаётся неясным, были ли последние кражи связаны с той же уязвимостью, с другой, более старой уязвимостью или с несколькими уязвимостями.
Капитальная переработка системы безопасности с использованием ИИ устранила 85 уязвимостей всего за несколько дней до появления предупреждения
Время событий добавляет ещё один поворот. 29 октября Btcpay Server выпустил версию 2.4.7 после получения отчётов об уязвимостях, сгенерированных в рамках инициативы Anthropic по сканированию безопасности с использованием открытого исходного кода. В этом релизе были устранены 85 обнаруженных проблем, в том числе одна критическая, 13 проблем высокой степени серьезности, 52 — средней и 19 — низкой.
Эти раскрытия произошли на фоне более широкого распространения исследований уязвимостей с помощью ИИ в 2026 году, поскольку системы, разработанные гигантами в области ИИ, такими как Anthropic, OpenAI и Google, демонстрировали всё более сложные возможности по выявлению слабых мест в программном обеспечении. Только в рамках инициативы Anthropic по сканированию за шесть месяцев было выявлено более 29 000 потенциальных уязвимостей, хотя лишь часть из них прошла ручную проверку.
Инцидент с Btcpay иллюстрирует принципиальное различие между обнаружением уязвимостей и защитой развернутого программного обеспечения. Публикация исправлений не приводит к автоматическому обновлению независимо управляемых серверов.
Торговцы отключают серверы от сети на время расследования
Компании, в том числе Coincards, отключили установки Btcpay после получения предупреждения. Для продавцов такое прерывание деятельности создает необходимость немедленного выбора между доступностью платежей и защитой средств, доступных через подключенные кошельки. Дориер вновь подчеркнул важность ограничения остатков на «горячих» кошельках суммами, потерю которых операторы могут себе позволить.
В предоставленных обновлениях не было объявлено ни об окончательной оценке убытков, ни о выпуске нового патча, специально предназначенного для устранения данного инцидента, ни о снятии тревоги. Разработчики готовили более полное объяснение. Тревожный вопрос выходит за рамки Btcpay: по мере того как системы искусственного интеллекта ускоряют обнаружение уязвимостей, сможет ли независимо управляемая платежная инфраструктура идти в ногу с исправлениями?
news.bitcoin.com
