BTCPay Server · Exploração confirmada

BTCPay Server desatualizado: roubos rastreados somam US$ 1,63 milhão

30 de out. de 2026 · 2 min de leitura

Atacantes entraram como administradores e drenaram carteiras quentes de servidores BTCPay Server na versão 2.4.1 ou anterior; a análise da Bitquery rastreou US$ 1,63 milhão em Bitcoin e Litecoin até dois endereços, valor considerado piso. A falha foi corrigida na versão 2.4.2, de 7 de agosto, e o projeto não registrou impacto em servidores já atualizados. Operadores na 2.4.1 ou anterior devem reconstruir em servidor novo, com carteira e seed novas, pois só atualizar pode não remover o acesso do invasor.

Por Redação HIFY Radar Atualizado 03/11/2026 11:32 Receba isso todo dia →← Voltar ao feed 5 fontes

AltaFalhaExploração confirmadaCorrigido

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Atacantes exploraram uma falha já corrigida do BTCPay Server para roubar Bitcoin e Litecoin de carteiras quentes em servidores desatualizados, na versão 2.4.1 ou anterior. A análise da Bitquery rastreou cerca de US$ 1,63 milhão até dois endereços citados pelo projeto, valor que serve de piso.

Por que importa

Operadores que não instalaram a correção, disponível desde 7 de agosto, perderam criptomoedas diretamente; os roubos continuaram mesmo após o aviso para desligar os servidores em 1º de novembro. Carteiras com chaves de gasto fora do servidor, como hardware wallets, não foram afetadas.

O que fazer

Atualizar imediatamente para a 2.4.2 ou posterior; a 2.4.7 já existe. Servidores na 2.4.1 ou anterior devem ser reconstruídos em servidor novo, com carteira e seed novas, varrendo fundos restantes e trocando credenciais expostas, mesmo que já tenham sido atualizados.

Para o time técnico

Afetados: BTCPay Server · BTCPay Server até a versão 2.4.1, lançada em 23 de julho de 2026; o projeto não registrou impacto em servidores na 2.4.2 ou posterior.
Exploração: Exploração confirmada pelo próprio projeto. A Bitquery rastreou 18,38 BTC e 3.405 LTC (cerca de US$ 1,63 milhão) movidos em 682 varreduras entre 30 de outubro e a manhã de 2 de novembro; 267 varreduras, de cerca de US$ 150 mil, ocorreram após o aviso de desligamento às 22:25 UTC de 1º de novembro.
Correção: Atualizar para a 2.4.2, de 7 de agosto, ou posterior; a 2.4.7 corrige 85 falhas de segurança, sendo 1 crítica e 13 de alta, com atualização recomendada para quem roda a 2.4.5 ou anterior. Em servidores na 2.4.1 ou anterior: reconstruir em servidor novo com carteira e seed novas, varrer os fundos restantes da carteira quente, trocar credenciais expostas, preservar logs e não restaurar o servidor antigo no novo.
Vetor: Falha do BTCPay Server corrigida na 2.4.2; em instâncias na 2.4.1 ou anterior, o ladrão entrou como administrador e varreu as carteiras quentes, segundo a Bitquery. O método é distinto da exploração de agosto via LND, implementação da Lightning Network.
Mais detalhes: 87% dos fundos rastreados moveram em uma única onda na tarde e noite de 1º de novembro, segundo a Bitquery. O número de servidores afetados é desconhecido, pois a blockchain registra carteiras, não sistemas; o total exclui outros endereços, outras moedas e fundos Lightning, então US$ 1,63 milhão é piso. O BTCPay Server afirma que parte da atividade nos dois endereços antecede os roubos, que os saldos não são perdas confirmadas e que o projeto não publicou total de perdas. A falha já havia sido explorada em agosto via LND; na época, o projeto disse que carteiras on-chain, incluindo quentes, não eram afetadas. Nenhum ator foi atribuído.

Linha do tempo

03/11/2026 11:32
Novo levantamento eleva o valor rastreado dos roubos em instâncias desatualizadas para US$ 1,63 milhão.
03/11/2026 06:17
Investigação do projeto confirma que os roubos de Bitcoin e Litecoin visaram servidores na versão 2.4.1 ou anterior, e pede atualização imediata.
03/11/2026 05:39
TheHackersNews reporta que versões 2.4.1 e anteriores foram exploradas para roubar Bitcoin e Litecoin de hot wallets, e recomenda migrar para um servidor e uma carteira novos mesmo sem roubo detectado.

Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →

Ver todas as 5 atualizações

02/11/2026 14:38
Aviso de 2 de novembro confirma novos roubos de Bitcoin e Litecoin em hot wallets de servidores na versão 2.4.1 ou anterior, por método distinto do original, e orienta reconstruir em servidor novo porque só atualizar pode não remover o invasor.
30/10/2026 12:25
Incidente aberto.