Il team di BTCPay Server, il processore di pagamenti Bitcoin e Lightning open source e self-hosted, ha annunciato il 10 agosto 2026 un programma di ricompensa fino a 3 BTC per chi contribuirà al recupero dei fondi sottratti nella violazione della settimana scorsa. La ricompensa vale il 10% di quanto effettivamente recuperato, tetto massimo compreso, e arriva insieme a un impegno esplicito: dare priorità assoluta alle patch di sicurezza rispetto allo sviluppo di nuove funzionalità. Lo ha reso noto il team nel post ufficiale sul blog di BTCPay Server.
Cosa è Successo: la Falla nelle Credenziali Macaroon LND
La vulnerabilità, corretta con la versione 2.4.2 rilasciata il 7 agosto 2026, riguardava l’esposizione non autenticata dei file macaroon: le chiavi di accesso che autorizzano il controllo di un nodo Lightning basato su LND. Su alcune istanze BTCPay Server vulnerabili, un aggressore remoto poteva prelevare queste credenziali e prosciugare il wallet Lightning collegato senza bisogno di ulteriori permessi.
BitcoinLive24 ha seguito l’evolversi della vicenda fin dal primo giorno: la falla critica scoperta il 7 agosto e, il giorno successivo, la conferma che tra i nodi svuotati c’era anche quello di Foundation, l’azienda produttrice degli hardware wallet Passport. Secondo quanto riportato da CoinDesk, il CEO di Foundation, Zach Herbert, ha confermato pubblicamente il prosciugamento del nodo, e anche Citadel21, testata indipendente dedicata a Bitcoin, ha segnalato di aver subito lo stesso furto sul proprio nodo Lightning.
CoinDesk ha descritto il periodo come una “rough week” per il software Bitcoin: nello stesso arco di giorni la community aveva già assorbito il bug RNG di Coldcard da 116 milioni di dollari raccontato da BitcoinLive24. Due incidenti diversi, entrambi però nati da errori di implementazione più che da debolezze del protocollo Bitcoin in sé.
Il Programma Bounty di BTCPay Server: 10% dei Fondi, Tetto a 3 BTC
Secondo l’annuncio ufficiale, la ricompensa per il recupero equivale al 10% dei fondi restituiti, con un massimale fisso di 3 BTC anche in caso di recupero integrale della somma sottratta. Il programma è aperto a chiunque fornisca informazioni utili al recupero, inclusa — esplicitamente — una comunicazione diretta da parte dello stesso aggressore. Le segnalazioni vanno indirizzate all’indirizzo email dedicato security@btcpayserver.org.
Il progetto ha inoltre dichiarato di aver contattato team di sicurezza presso gli exchange, società di blockchain analytics e le forze dell’ordine locali, invitando gli utenti colpiti a sporgere denuncia presso le rispettive autorità.
La Ricompensa per la Disclosure Responsabile
Prima ancora del bounty per il recupero, BTCPay Server ha donato 0,42 BTC a chi ha segnalato la falla in modo responsabile: 0,21 BTC a Craig Raw, sviluppatore del wallet Sparrow, e altrettanti al fondo del Bitcoin Red Team. Il team ha motivato la scelta con la volontà di “apprezzare chi svolge un lavoro critico per la sicurezza” dell’ecosistema Bitcoin.
BTCPay Server: “Priorità alle Patch, non alle Nuove Feature”
Il passaggio più rilevante del post ufficiale riguarda però il futuro dello sviluppo. Il team ha scritto testualmente: “Per il prossimo futuro, daremo priorità alle patch di sicurezza e all’irrobustimento del sistema rispetto alle nuove funzionalità principali”. Si tratta di un impegno indefinito, non legato a una scadenza, accompagnato da un messaggio diretto agli utenti danneggiati: “A chi ha perso fondi: siamo dispiaciuti. Esamineremo i nostri errori, ma il solo rammarico non aiuta gli utenti colpiti né rende sicuro il progetto”.
| Data | Evento |
|---|---|
| 7 agosto 2026 | Rilasciata la versione 2.4.2, che corregge la falla sulle credenziali macaroon LND |
| 8 agosto 2026 | Confermati i primi nodi Lightning svuotati, tra cui quello di Foundation |
| 10 agosto 2026 | BTCPay Server pubblica il post ufficiale con bounty da 3 BTC e donazioni per 0,42 BTC |
Cosa Significa per gli Utenti Bitcoin che Usano BTCPay Server
Per i merchant e i self-hoster che usano BTCPay Server, il punto operativo resta lo stesso della settimana scorsa: aggiornare immediatamente alla versione 2.4.2 è la condizione minima per non restare esposti. La novità di oggi è che il progetto mette per iscritto un cambio di priorità nello sviluppo, un segnale che il caso ha inciso sulla governance interna e non solo sulla gestione dell’emergenza. Per chi segue le notizie Bitcoin su BitcoinLive24, la vicenda BTCPay Server si conferma un promemoria pratico: anche gli strumenti Bitcoin nativi, pensati per l’autocustodia, non sono immuni da errori di implementazione e vanno tenuti aggiornati con la stessa attenzione riservata a un wallet exchange.
Per restare aggiornati in tempo reale su ogni sviluppo della sicurezza Bitcoin, scarica l’app BitcoinLive24.
Domande Frequenti
Cos’è BTCPay Server?
BTCPay Server è un processore di pagamenti Bitcoin e Lightning Network open source e self-hosted, usato da merchant e sviluppatori per accettare pagamenti in Bitcoin senza intermediari.
Quanto vale il bounty per il recupero dei fondi rubati?
Il bounty equivale al 10% dei fondi effettivamente recuperati, con un tetto massimo di 3 BTC anche in caso di recupero completo, secondo l’annuncio riportato da Bitcoin Magazine.
Chi ha scoperto la vulnerabilità nelle credenziali macaroon?
La disclosure responsabile è arrivata da Craig Raw, sviluppatore del wallet Sparrow, e dal fondo del Bitcoin Red Team, entrambi ricompensati da BTCPay Server con 0,21 BTC ciascuno.
BTCPay Server tornerà a sviluppare nuove funzionalità?
Il team non ha fissato una scadenza: per il prossimo futuro le patch di sicurezza e l’irrobustimento del sistema avranno priorità sulle nuove feature, secondo quanto dichiarato nel post ufficiale del progetto.
Come posso proteggere il mio nodo BTCPay Server?
Il primo passo resta l’aggiornamento immediato alla versione 2.4.2, che chiude la falla sulle credenziali macaroon LND sfruttata nell’attacco di inizio agosto.
