BTCPay Server, il software open source per accettare pagamenti in Bitcoin, ha chiesto domenica 1 novembre 2026 agli operatori di spegnere i propri server dopo le segnalazioni di hot wallet svuotati da attaccanti non autorizzati. Il fondatore Nicolas Dorier ha poi precisato che i furti sembrano riguardare versioni precedenti alla 2.4.2, ma il progetto non ha ancora indicato né l’importo sottratto né il numero di server colpiti. Un hot wallet è un portafoglio la cui frase di recupero è salvata sul server stesso, e il progetto invita chi ne usa uno a seguire le sue indicazioni.
Cosa è successo: l’allarme di BTCPay Server sugli hot wallet
BTCPay Server ha scritto su X di avere ricevuto segnalazioni di hot wallet svuotati da attaccanti non autorizzati e ha chiesto di spegnere i server con lo script ./btcpay-down.sh fino alla fine dell’indagine, secondo CoinDesk. Il progetto non ha comunicato né una cifra delle perdite né il numero di server coinvolti.
Circa due ore dopo, sempre secondo CoinDesk, Dorier ha scritto che i furti «sembrano riguardare» release precedenti alla 2.4.2 e che i server pubblici del progetto, che usano la 2.4.7, «non sono stati attaccati». Ha aggiunto che gli attaccanti hanno effettuato l’accesso come amministratori sui server colpiti, ma che il team non sa ancora come abbiano ottenuto quell’accesso.
Un aggiornamento è stato riportato da Cointelegraph il 2 novembre. Secondo l’articolo, l’indagine ha individuato un vettore di attacco che interessa le istanze alla versione 2.4.1 o precedenti, rilasciata il 23 luglio 2026, e il progetto afferma di non avere ricevuto «segnalazioni credibili» di svuotamenti da utenti dell’ultima release, la 2.4.7. L’invito agli operatori è di aggiornare; le fonti non chiariscono se l’invito a spegnere i server resti valido dopo l’aggiornamento.
Quali versioni di BTCPay Server sono coinvolte
Le segnalazioni di furto riguardano BTCPay Server fino alla versione 2.4.1, mentre la 2.4.2 è uscita il 7 agosto 2026 per correggere la falla delle credenziali LND di agosto. La tabella riassume ciò che il progetto e il suo fondatore hanno dichiarato finora.
| Versione | Cosa risulta dalle dichiarazioni | Fonte |
|---|---|---|
| 2.4.1 e precedenti (la 2.4.1 è del 23 luglio 2026) | Interessate dal vettore di attacco individuato; i furti riguardano release precedenti alla 2.4.2 | CoinDesk, Cointelegraph |
| Dalla 2.4.2 alla 2.4.6 | Nessuna indicazione esplicita: Dorier non ha detto se siano sicure | CoinDesk |
| 2.4.7 (29 ottobre 2026) | Server pubblici del progetto «non attaccati»; nessuna segnalazione credibile di svuotamenti | CoinDesk, Cointelegraph |
Fonte della tabella: CoinDesk e Cointelegraph; le date di rilascio vengono dalle pagine delle release su GitHub, v2.4.2 e v2.4.7. Il progetto non ha spiegato il metodo tecnico usato dagli attaccanti e ha chiesto a chi ha subito un furto di inviare informazioni e log al suo team di sicurezza. Cointelegraph riferisce di avere contattato BTCPay per un commento senza ricevere risposta prima della pubblicazione.
Perché gli hot wallet sono il punto delicato
Un hot wallet tiene la frase di recupero (la sequenza di parole che permette di ricostruire un portafoglio) su un server connesso a internet, così il server può firmare i pagamenti senza un’approvazione separata. Secondo CoinDesk, la documentazione di BTCPay dice che il server userà in automatico il seed salvato per firmare i pagamenti e contrassegna la funzione con l’avviso «DANGER». CoinDesk precisa che chi riesce a violare un server di questo tipo può spostare le monete; il progetto non ha detto se i furti siano avvenuti così.
BitcoinLive24 segnala una differenza rispetto ad agosto: l’avviso di sicurezza del 7 agosto precisava che i wallet on-chain di BTCPay, hot wallet compresi, non erano toccati da quella falla, legata alle credenziali di LND. Le segnalazioni di oggi riguardano invece proprio gli hot wallet, e Cointelegraph scrive che non è chiaro se i due episodi siano collegati.
Il precedente di agosto: credenziali LND e furti
BTCPay Server 2.4.2 è stato pubblicato il 7 agosto 2026 per correggere una vulnerabilità critica che, secondo le note di rilascio su GitHub, veniva già sfruttata. L’avviso del progetto spiega che un attaccante remoto non autenticato poteva ottenere i file .macaroon, le credenziali di LND (un’implementazione della Lightning Network), e usarli per prendere il controllo di un nodo e muovere i fondi.
Secondo Cointelegraph, che ne scriveva il 9 agosto, i nodi Lightning di due operatori, Foundation e Citadel21, erano stati svuotati, senza che venissero resi noti gli importi. BTCPay aveva limitato temporaneamente l’accesso remoto pubblico ai nodi LND nelle installazioni Docker.
Il 29 ottobre è uscita la versione 2.4.7, che nelle note di rilascio corregge 85 problemi di sicurezza segnalati tramite il programma OSS Scanner di Anthropic (1 critico, 13 alti, 52 medi, 19 bassi). Il rilascio precede le segnalazioni di furto e nessuna delle fonti consultate lo collega a esse. Per altri aggiornamenti di sicurezza sui nodi, BitcoinLive24 ha raccontato anche LND 0.21.6 e la falla del kernel Linux e le tre falle di Bitcoin Core trovate dall’IA.
Cosa resta da chiarire e cosa chiede il progetto
Secondo le fonti consultate, BTCPay chiede agli operatori di spegnere i server con ./btcpay-down.sh finché l’indagine non è conclusa, di aggiornare alla versione più recente e, in caso di furto, di inviare informazioni e log al team di sicurezza.
Restano aperti l’importo sottratto, il numero degli operatori colpiti, il modo in cui gli attaccanti hanno ottenuto l’accesso da amministratore e l’eventuale legame con la falla di agosto. Sulla sicurezza dei dispositivi, BitcoinLive24 ha raccontato anche il caso del sospetto impianto spia in un Trezor Safe 5.
Scarica l’app BitcoinLive24 per ricevere in tempo reale gli aggiornamenti sulla sicurezza di Bitcoin.
Domande frequenti su BTCPay Server e gli hot wallet svuotati
Che cos’è BTCPay Server?
BTCPay Server è uno strumento gratuito e open source per accettare pagamenti in Bitcoin, come lo descrive CoinDesk. Gli operatori lo installano su un proprio server, dove può tenere anche un hot wallet con la frase di recupero salvata.
Le versioni più recenti di BTCPay Server sono sicure?
Non è confermato. Dorier non ha detto se le versioni successive alla 2.4.2 siano sicure, mentre BTCPay afferma di non avere ricevuto segnalazioni credibili di svuotamenti sulla 2.4.7 e invita ad aggiornare. L’indagine è ancora in corso.
Quanti fondi sono stati rubati?
Non si sa. BTCPay non ha indicato né l’importo delle perdite né il numero dei server colpiti, e finora ha parlato solo di segnalazioni di furti.
