BTCPay Server je bezplatný nástroj s otvoreným zdrojovým kódom, ktorý obchodníkom umožňuje prijímať bitcoinové platby na vlastnej infraštruktúre. Nejde o jednu centrálnu burzu ani spoločnú peňaženku všetkých zákazníkov. Hlásené incidenty sa týkajú jednotlivých prevádzkovaných serverov a takzvaných hot wallets, teda peňaženiek, ktorých súkromné kľúče sú uložené na zariadení pripojenom k internetu.
Projekt najskôr v nedeľu 1. novembra vyzval prevádzkovateľov, aby svoje inštalácie počas vyšetrovania vypli. Ako informoval CoinDesk, zakladateľ Nicolas Dorier následne uviedol, že útočníci sa na zasiahnuté servery prihlásili s administrátorskými oprávneniami. V čase jeho vyjadrenia však tím ešte zisťoval, ako tento prístup získali. Získanie administrátorského prístupu je preto potrebné odlišovať od vysvetlenia pôvodnej bezpečnostnej chyby.
Pondelkové oznámenie už podľa Cointelegraphu zúžilo identifikovaný spôsob útoku na verziu 2.4.1, vydanú 23. júla 2026, a staršie vydania. Vývojári zároveň vyzvali používateľov na aktualizáciu. Ich vyjadrenie, že pri verzii 2.4.7 nemajú dôveryhodné hlásenia o vyprázdnených peňaženkách, však nie je všeobecnou zárukou bezpečnosti každej novšej inštalácie. Počet zasiahnutých prevádzkovateľov ani celkovú hodnotu odcudzených prostriedkov projekt v citovanom oznámení nezverejnil.
Riziko súvisí aj so spôsobom uloženia kľúčov. Dokumentácia BTCPay Servera vysvetľuje, že hot wallet uchováva súkromný kľúč na serveri a umožňuje odosielať platby priamo z jeho rozhrania. To zjednodušuje prevádzku, ale pri kompromitácii účtu alebo servera vystavuje prostriedky riziku. Alternatívou je napríklad peňaženka iba na sledovanie, ktorá eviduje adresy a transakcie, pričom na míňanie vyžaduje podpis mimo servera.
BTCPay Server riešil bezpečnostný incident aj v auguste. Vtedajšie oficiálne upozornenie opisovalo chybu umožňujúcu získať prístupové údaje k LND, softvéru pre platby cez Lightning Network. Vývojári potvrdili jej zneužitie a opravili ju vo verzii 2.4.2. Pri tomto staršom incidente výslovne odlíšili zasiahnuté LND uzly od vlastných bitcoinových peňaženiek BTCPay Servera. Súvislosť augustovej chyby s najnovšími krádežami zatiaľ nie je objasnená.
Pre prevádzkovateľov je podstatné skontrolovať nasadenú verziu a riadiť sa aktuálnymi bezpečnostnými pokynmi projektu. Verzia 2.4.7 bola podľa oficiálneho repozitára vydaná už 29. októbra, teda pred najnovším verejným varovaním; nemožno ju preto opisovať ako opravu vydanú až v reakcii na tieto hlásenia. Projekt žiada zasiahnutých používateľov o informácie a prevádzkové záznamy pre bezpečnostný tím. Obnovovaciu frázu ani súkromné kľúče pritom netreba zdieľať.
⚠️ Tento článok nie je finančné poradenstvo. Pákové obchodovanie s derivátmi nesie mimoriadne vysoké riziko straty investovaného kapitálu. Pred akýmkoľvek investičným rozhodnutím odporúčame konzultáciu s nezávislým finančným poradcom.