Una falla nel software di pagamento BTCPay Server ha permesso ad aggressori remoti di impossessarsi delle credenziali dei nodi Lightning Network basati su LND e di svuotarli, colpendo tra gli altri il produttore di hardware wallet Foundation e la rivista Citadel21. Il progetto ha rilasciato la versione 2.4.2 il 7 agosto 2026 e ha invitato chi non riesce ad aggiornare subito a spegnere il server. È il terzo incidente di sicurezza sull’infrastruttura Bitcoin in una settimana, dopo Coldcard e una libreria di cifratura JavaScript, e arriva mentre un nuovo collettivo di sviluppatori, la Bitcoin Red Team, sta passando al setaccio centinaia di progetti open source con l’aiuto dell’intelligenza artificiale.
Come Funziona la Falla: i File Macaroon di LND
LND (Lightning Network Daemon) è l’implementazione più diffusa per gestire un nodo Lightning, il livello di pagamenti istantanei costruito sopra Bitcoin. Per autorizzare un’applicazione a operare su un nodo, LND usa i macaroon: file di credenziali che funzionano come una chiave d’accesso, simile a una API key. La falla in BTCPay Server permetteva a un aggressore remoto di ottenere questi file senza autenticazione, secondo quanto riportato da CoinDesk. Chi otteneva il macaroon aveva di fatto il controllo del nodo Lightning: poteva chiudere forzatamente i canali di pagamento e prelevare i fondi disponibili.
BTCPay Server ha precisato che i wallet on-chain standard, cioè i normali indirizzi Bitcoin gestiti dalla piattaforma, non sono stati toccati: il problema riguarda esclusivamente i nodi Lightning collegati via LND. Il progetto ha comunque raccomandato a tutti gli operatori di ruotare le proprie credenziali macaroon e di spostare i bitcoin dai vecchi hot wallet verso wallet appena creati, perché le credenziali rubate restano valide anche dopo l’aggiornamento alla 2.4.2.
Le Vittime: Foundation e Citadel21
Tra le vittime confermate c’è Foundation, produttore dell’hardware wallet Passport: l’amministratore delegato Zach Herbert ha dichiarato che gli aggressori hanno prosciugato il nodo Lightning collegato a BTCPay dell’azienda durante la notte, chiudendo i canali e prelevando i fondi. Colpita anche Citadel21, la pubblicazione bitcoin curata dal commentatore pseudonimo hodlonaut, che ha riferito di avere perso pochi fondi perché il nodo ne custodiva pochi. BTCPay non ha reso pubblico l’importo totale sottratto in tutto l’incidente, limitandosi a dire che non è ancora chiaro quanti utenti siano stati colpiti.
La Bitcoin Red Team: l’IA a Caccia di Bug nel Codice Bitcoin
La falla di BTCPay è stata segnalata responsabilmente al progetto da quattro membri della Bitcoin Red Team — Craig Raw, Rob Hamilton, Calle e Evan Kaloudis — un collettivo nato dopo il furto dei portafogli hardware Coldcard di inizio agosto. Il gruppo, guidato da Calle (sviluppatore dell’app Android di Bitchat) e da Rob Hamilton (CEO della società di assicurazione per l’auto-custodia Anchorwatch, secondo quanto riportato da Bitcoin Magazine), punta modelli di intelligenza artificiale contro il codice dei progetti Bitcoin open source per trovare vulnerabilità prima che lo facciano gli attaccanti.
Il finanziamento arriva dal Red Team Fund di OpenSats, organizzazione no-profit statunitense 501(c)(3) che sostiene lo sviluppo open source di Bitcoin: secondo la pagina ufficiale del fondo, consultata da BitcoinLive24, il fondo paga i ricercatori di sicurezza che trovano e divulgano falle e copre i costi mensili dei token dei modelli linguistici usati per l’analisi del codice. In appena 27,5 ore di lavoro, con un budget dichiarato superiore a 40.000 dollari in token IA, la Red Team ha scansionato 390 repository open source legati a Bitcoin, producendo 4.962 segnalazioni: 85 classificate come critiche e 635 come ad alta gravità.
Una Settimana di Exploit sull’Infrastruttura Bitcoin
La falla di BTCPay è il terzo incidente di sicurezza rilevante sull’ecosistema Bitcoin in sette giorni. La tabella riassume i tre episodi, con il controvalore in dollari calcolato dalla redazione al prezzo Bitcoin corrente di 64.968 $ (CoinGecko, ore 13:13 UTC dell’8 agosto 2026) dove non diversamente specificato:
| Incidente | Cosa è stato colpito | Entità del danno |
|---|---|---|
| Coldcard (4 ondate, 1-8 agosto) | Seed phrase generate con RNG difettoso su Mk3/Mk4/Q | ~1.756 BTC rubati, circa 114 milioni $ al prezzo attuale (dettagli quarta ondata) |
| CryptoJS (rivelato 7 agosto) | Generatore di numeri casuali della libreria, difettoso dal 2014 al 2020 | Almeno 5,7 milioni $ (dettagli sulla falla) |
| BTCPay/LND (7-8 agosto) | Macaroon dei nodi Lightning esposti senza autenticazione | Non divulgato da BTCPay; coinvolti Foundation e Citadel21 |
Sommando i due importi resi pubblici (Coldcard e CryptoJS), il conto della redazione supera i 119 milioni di dollari in tre exploit distinti nell’arco di una settimana — un calcolo che non include l’ammontare di BTCPay, ancora non reso noto. Nessuna fonte consultata da BitcoinLive24 pubblica questo totale aggregato.
Falla BTCPay: Cosa Fare se Gestisci un Nodo Lightning
Per chi amministra un’istanza BTCPay Server collegata a LND, le indicazioni ufficiali del progetto sono tre: aggiornare alla versione 2.4.2 dal pannello di gestione del server e verificare che il piè di pagina mostri la nuova versione; rigenerare tutte le credenziali macaroon e le stringhe di autenticazione Lightning, perché quelle rubate restano valide anche dopo l’aggiornamento; spostare i bitcoin dai vecchi hot wallet collegati al nodo verso wallet appena creati. Chi non può aggiornare immediatamente dovrebbe spegnere il server fino all’installazione della patch.
Scaricare l’app BitcoinLive24 (disponibile qui) permette di ricevere le notifiche in tempo reale su questo tipo di allerta di sicurezza, utili a chi gestisce fondi in autocustodia su Lightning.
Conclusione
La sequenza Coldcard-CryptoJS-BTCPay mostra un ecosistema che sta trovando le proprie falle più vecchie proprio mentre nasce uno strumento pensato per anticiparle: la Bitcoin Red Team ha dichiarato di voler rendere pubblici gli strumenti usati per l’audit, un passo che — se confermato — potrebbe cambiare il modo in cui i progetti Bitcoin open source vengono controllati prima che un bug arrivi in produzione. Per ora, il collettivo continua a contattare in privato i progetti con vulnerabilità critiche ancora aperte.
FAQ
Cos’è un file macaroon in un nodo Lightning?
È un file di credenziali che autorizza un’applicazione a operare su un nodo LND, funzionando come una chiave d’accesso: chi lo possiede può muovere i fondi del nodo senza bisogno di altre password.
La falla di BTCPay ha colpito anche i wallet Bitcoin on-chain?
No. BTCPay Server ha precisato che il problema riguarda solo i nodi Lightning basati su LND: i normali wallet on-chain della piattaforma non sono stati toccati dalla falla.
Cosa deve fare chi ha un nodo Lightning su BTCPay Server?
Aggiornare subito alla versione 2.4.2, ruotare tutte le credenziali macaroon e spostare i fondi verso wallet appena creati, perché le credenziali rubate restano valide anche dopo la patch.
Chi è la Bitcoin Red Team?
È un collettivo di sviluppatori nato dopo il furto Coldcard di inizio agosto 2026, che usa modelli di intelligenza artificiale per analizzare il codice open source di Bitcoin e trovare vulnerabilità critiche, finanziato dal Red Team Fund di OpenSats.
Quanto è stato rubato in totale negli exploit Bitcoin di questa settimana?
Sommando gli importi resi pubblici di Coldcard (circa 114 milioni di dollari al prezzo attuale) e CryptoJS (5,7 milioni di dollari), il totale supera i 119 milioni di dollari; l’importo sottratto nell’incidente BTCPay non è stato ancora comunicato.
