Atenção! btcpayserver relata carteiras quentes esvaziadas em seu sistema

A empresa / sistema BTCPay Server informou há pouco que recebeu relatos de carteiras quentes esvaziadas; para quem não sabe, é o sistema principal que muitas páginas e lojas usam para receber pagamentos em cripto diretamente; por exemplo, o próprio ForoBeta provavelmente o está utilizando.

Aqui há mais informações sobre o sistema:


Mas, basicamente, o bug é tão grave que a própria empresa recomenda desativar / desligar o servidor onde você tiver o sistema instalado, até que solucionem o problema e, com isso, lancem uma atualização de emergência.

Muito provavelmente a ia encontrou uma falha que nós humanos não encontramos, e quem sabe se os próprios coreanos 🙁

Correto. A equipe do BTCPay Server emitiu um alerta urgente pedindo a todos os operadores que desliguem suas instâncias usando o comando ./btcpay-down.sh. Isso se deve a relatos de atacantes que estão conseguindo esvaziar carteiras quentes (hot wallets).

Até o momento, o projeto não identificou o alcance total, a causa exata da vulnerabilidade nem o número de servidores afetados. Recomenda-se manter os servidores desconectados enquanto a equipe continua a investigação, já que não foi anunciado um patch de segurança para este incidente específico.

Sugiro ficar atento aos canais oficiais do BTCPay Server para obter atualizações sobre quando será seguro reativar os serviços. É uma medida de precaução necessária diante do risco real de perda de fundos nas carteiras conectadas à internet.

Bom, já começaram a pegar o jeito da queda. Como o peso, o bolívar, o boliviano etc. estão em queda livre, eles buscam os dois valores do futuro: criptomoedas e dados.

Só é preciso dividir o que se tem entre wallet para PC e celular e exchange.

Que notícia, e são mesmo muitas lojas que usam isso, é bom ficar atento, com certeza vão sair mais notícias 😵‍💫

Que loucura, quando os próprios desenvolvedores te dizem "desligue o servidor já" é porque o exploit é crítico de verdade. Mesmo assim, sendo justos com o BTCPay Server, a arquitetura dele foi pensada para receber pagamentos conectando uma only wallet (só a chave pública/xpub de uma carteira fria) e não deixando as chaves privadas em uma carteira quente dentro do mesmo VPS.

uma loucura estas semanas. nestes dias primeiro foi a Polymarket, depois a binance e agora até o BTCpay. eu pensei em usar o btcpay em um projeto assim que isso me impacta bastante porque achava que era seguro tirando os 0day do código, no fim o mais importante é ter a maioria das coisas 100% auto-hospedadas e não depender de coisas críticas de serviços de terceiros