Na madrugada deste domingo (1º), o time de desenvolvedores do BTCPay Server confirmou que criminosos voltaram a retirar recursos de carteiras hot wallets operadas pelos usuários da plataforma. Segundo o fundador Nicolas Dorier, o montante subtraído gira em torno de 20 bitcoins, o que corresponde a cerca de US$ 1,5 milhão à cotação atual.
Vulnerabilidade explorada e versões atingidas
A investigação apontou que os alvos utilizavam a versão 2.4.1, lançada em 23 de julho, ou versões ainda mais antigas. O método de ataque mudou em relação ao incidente de agosto, mas ainda se aproveitou de uma brecha que havia sido corrigida na versão 2.4.2, disponibilizada em 7 de agosto de 2026. O comunicado oficial ressaltou que a falha já não está presente nas versões posteriores, sendo a 2.4.7 – divulgada em 29 de outubro – a mais segura até o momento.
Atualizações lançadas nos últimos meses
Desde o primeiro alerta em agosto, a equipe liberou diversas correções de segurança. Além da 2.4.2, foi emitida uma atualização emergencial em 29 de outubro (versão 2.4.7) que reparou uma vulnerabilidade crítica e outras de gravidade média, identificadas por scanners de código aberto da Anthropic. Embora ainda não haja confirmação de que o novo ataque tenha usado alguma das correções recentes, a proximidade entre as datas reforça a necessidade de migração imediata.
Impacto financeiro e endereços dos criminosos
Os ladrões moveram os fundos para dois endereços distintos: um em Bitcoin que recebeu aproximadamente 20 moedas, e outro em Litecoin com cerca de 3.500 unidades, avaliadas em US$ 189 milhões. Dorier divulgou publicamente esses endereços nas redes sociais, incentivando a comunidade a monitorá-los. Ele afirmou: “Pelo menos para aqueles que já atualizaram o sistema ao menos uma vez desde o lançamento da versão 2.4.2, não há motivo para pânico.“
Recomendações da equipe para conter o risco
A orientação oficial insiste na atualização para a versão 2.4.7 como medida imediata. Além disso, os usuários são aconselhados a transferir todo o saldo para novas carteiras, pois um invasor que já tenha copiado a semente pode continuar assinando transações mesmo após o servidor ser desligado. A mudança para uma máquina virtual recém-criada, a rotação de senhas e a regeneração de chaves de acesso também são práticas recomendadas.
Provedores de hospedagem, como a LunaNode, já começaram a desativar instâncias que ainda rodam versões vulneráveis, mas a responsabilidade final recai sobre cada comerciante que administra seu próprio nó. Em ambientes onde as chaves permanecem em servidores conectados à internet, a exposição é ainda maior, exigindo atenção redobrada a todo o ciclo de vida das credenciais.
Até o momento, a equipe não divulgou quantos servidores foram comprometidos nem o total exato de moedas desviadas. O alerta, publicado às 17h25 (horário da costa leste dos EUA), reforça que a reação rápida – desligar instâncias e enviar logs de segurança para a equipe do BTCPay – ainda é o procedimento mais eficaz para limitar danos adicionais.
