O BTCPay Server orientou comerciantes de Bitcoin a reconstruir servidores de pagamento antigos e substituir suas carteiras. A recomendação ocorreu após invasores retirarem Bitcoin e Litecoin de instalações vulneráveis. Segundo a Bitquery, os furtos suspeitos somaram cerca de US$ 1,63 milhão.

Ao todo, as movimentações envolveram 18,38 BTC e 3.405 LTC entre 30 de outubro e 2 de novembro. Contudo, o BTCPay ainda não confirmou o prejuízo total nem o número de comerciantes comprometidos. Por isso, os valores permanecem como estimativas da empresa de análise.

Falha expôs servidores antigos do BTCPay

Em um alerta de segurança publicado em 2 de novembro, o projeto afirmou que uma atualização pode não proteger fundos já expostos. Isso pode ocorrer quando os invasores obtêm acesso ao servidor antes da correção. Assim, a equipe pediu medidas mais amplas aos operadores afetados.

Os ataques atingiram instalações com a versão 2.4.1 ou anterior. Os invasores usaram um método diferente para explorar uma falha que o BTCPay corrigiu em 7 de agosto. Entretanto, o projeto ainda não estabeleceu toda a cronologia nem atribuiu conclusivamente cada transação aos furtos.

A investigação da Bitquery registrou 682 operações de esvaziamento de carteiras durante o período analisado. Além disso, 87% dos recursos saíram em uma janela de oito horas no dia 1º de novembro. Na hora mais intensa, as transferências alcançaram aproximadamente US$ 725 mil.

O BTCPay lamentou não ter alcançado mais operadores com instalações desatualizadas após o alerta de agosto. Desde então, o projeto publicou outras atualizações de segurança para seus servidores. Entre elas estava a versão 2.4.7, disponibilizada em 29 de outubro.

Transferências continuaram depois do alerta

As retiradas suspeitas continuaram mesmo após o BTCPay orientar publicamente os operadores a desligarem seus servidores. De acordo com a Bitquery, houve outras 267 operações após o aviso emitido em 1º de novembro, às 22h25 UTC. Essas transações movimentaram aproximadamente US$ 150 mil.

As transferências seguiram durante a noite e ainda ocorriam às 6h UTC de 2 de novembro. Nesse momento, a empresa de análise encerrou sua contagem. Enquanto isso, o BTCPay contatou provedores de hospedagem, incluindo a LunaNode, para retirar instalações afetadas do ar.

O projeto recebeu o primeiro relato de roubo por e-mail às 20h56 UTC. Porém, sua apuração encontrou uma retirada de fundos realizada mais cedo naquela tarde. Quando emitiu o aviso, a equipe não havia detectado impacto em servidores com a versão 2.4.2 ou posterior.

Projeto recomenda novas carteiras e credenciais

Carteiras cujas chaves de gasto permaneciam fora do servidor não sofreram os furtos relatados. Esse grupo inclui as carteiras de hardware. Ainda assim, operadores de versões vulneráveis devem migrar para instalações novas, mesmo sem perdas aparentes ou após atualizarem o programa.

A preocupação envolve invasores que possam ter obtido credenciais ou segredos de carteiras durante um acesso administrativo anterior. Nesse caso, os dados podem continuar válidos mesmo depois da correção da falha. Por consequência, o BTCPay recomenda criar uma carteira com frase-semente inédita em um dispositivo confiável.

Depois disso, os operadores devem transferir os fundos restantes da antiga carteira conectada. Também precisam aposentar os servidores atuais e preservar registros de transações e arquivos de atividades relevantes. Em seguida, devem instalar a versão mais recente em uma nova máquina virtual, sem restaurar o sistema anterior.

Senhas de hospedagem, credenciais SSH e chaves de acesso ao aplicativo também exigem substituição. A mesma orientação abrange chaves de API e credenciais da Lightning potencialmente expostas. Essas trocas devem ocorrer por meio de um dispositivo confiável.

No início de 2 de novembro, mais de 99% dos valores suspeitos permaneciam nos endereços usados inicialmente nos furtos. A Bitquery não identificou transferências para exchanges conhecidas. Por outro lado, as 682 operações não representam necessariamente o mesmo número de comerciantes, pois uma carteira pode ter várias retiradas.

Parte da atividade registrada nos endereços identificados parece anteceder os incidentes relatados. Portanto, o BTCPay ainda não determinou quais transações podem ser atribuídas conclusivamente aos furtos. A equipe continua coletando relatos e registros de transações enviados pelos operadores afetados.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.