Уязвимость в BTCPay привела к потере средств на Lightning-узлах

Ночью 8 августа злоумышленники смогли вывести средства с узлов Lightning Network, использующих платежный сервер BTCPay. Разработчики подтвердили данный инцидент и настоятельно призвали пользователей программы LND обновить программное обеспечение до версии 2.4.2 или временно отключить сервер. Уязвимость критическая и активно эксплуатируется, что может привести к значительным потерям средств. Пожалуйста, обновите ваш BTCPay Server до версии 2.4.2, перейдя в Админ-панель -> Сервер -> Обслуживание -> Обновление и проверьте, что версия 2.4.2 указана внизу страницы. Если вы… — BTCPay Server (@BtcpayServer) 7 августа 2026 года.

Магазины, использующие BTCPay, могут самостоятельно настраивать сервер для приема биткоинов без посредников и подключают Lightning Network для небольших транзакций. Однако доступ приложений к узлу сети осуществлялся через файлы .macaroon, что в результате ошибки позволяло злоумышленникам получать доступ к ним без авторизации. Это давало возможность полностью контролировать узел, включая закрытие каналов и вывод средств.

По информации разработчиков, уязвимость затрагивает только конфигурации с LND — самым популярным программным обеспечением для Lightning узлов. Обычные биткоин-кошельки BTCPay (включая горячие) не были подвержены риску, однако монеты на адресе LND остаются под угрозой, так как узел был скомпрометирован.

На данный момент неизвестно, сколько магазинов пострадало и сколько средств было украдено. Полный анализ инцидента разработчики обещали предоставить в ближайшие дни.

Проблема была обнаружена в ходе аудита с использованием искусственного интеллекта. Участники волонтерской организации Bitcoin Red Team заранее уведомили разработчиков BTCPay о существующей уязвимости. В начале августа команда начала масштабную проверку кодовых баз различных биткоин-проектов с применением нейросетей, составив тысячи отчетов.

Среди пострадавших оказалась компания Foundation, производитель аппаратных кошельков. Генеральный директор компании Зак Херберт сообщил, что в результате атаки злоумышленники опустошили Lightning-узел компании на BTCPay, однако ончейн-кошелек остался невредимым. "Сколько именно узлов BTCPay было затронуто? Наш узел Foundation был опустошен за ночь злоумышленниками" — написал Зак Херберт в своем Twitter.

Аналогичный инцидент подтвердило и биткоин-издание Citadel21, которое ведет комментатор под псевдонимом hodlonaut. Он добавил, что на узле хранились лишь небольшие суммы. "Это продолжающаяся атака на пользователей BTCPayserver. Узел Citadel21 только что был опустошен. К счастью, там хранились небольшие средства, благодаря осторожности перед активацией BIP-110. Молюсь за всех остальных пострадавших пользователей" — написал он в своем Twitter. Напоминаем, что в ночь на 31 июля у 500 владельцев аппаратных кошельков Coldcard было украдено 594,48 BTC (примерно $38,2 млн).