BTCPay Server, il processore di pagamenti Bitcoin e Lightning open source e self-hosted, ha confermato il 7 agosto 2026 che una vulnerabilità critica del proprio sistema di autenticazione a due fattori è stata sfruttata attivamente da malintenzionati. Il team ha rilasciato in poche ore la versione 2.4.2, che corregge un bypass del 2FA TOTP (il codice usa e getta generato da un’app di autenticazione, come Google Authenticator) tramite l’autenticazione Basic delle API Greenfield, invitando tutti gli operatori ad aggiornare immediatamente o spegnere i propri server. La falla arriva a pochi giorni dall’ondata di furti che ha colpito gli hardware wallet Coldcard, riaccendendo l’attenzione sulla sicurezza degli strumenti di autocustodia Bitcoin.
BTCPay Server Corregge un Bypass del 2FA Sfruttato Attivamente
Il bug riguardava l’autenticazione Basic delle API Greenfield (l’interfaccia REST che BTCPay Server espone per il controllo programmatico di store, fatture e wallet) che in certe condizioni permetteva di aggirare la verifica TOTP a due fattori. Lo confermano le note di rilascio ufficiali su GitHub, secondo cui la versione 2.4.2 chiude la falla disabilitando di default l’autenticazione Basic cinque minuti dopo la creazione dell’account, rendendola opt-in per chi la richiede davvero. La patch aggiorna in parallelo anche NBXplorer — il componente che BTCPay Server usa per indicizzare la blockchain Bitcoin — alla versione 2.6.10.
La scoperta è attribuita a due ricercatori del Bitcoin Red Team, identificati nelle note di rilascio come brunoerg e benthecarman, che l’hanno segnalata attraverso un processo di responsible disclosure prima che diventasse pubblica. BTCPay Server non ha diffuso dettagli tecnici sullo sfruttamento in corso: una prassi comune quando un exploit è già attivo, per non fornire indizi utili agli attaccanti prima che gli operatori possano completare l’aggiornamento, come riportato da The Block.
Perché la Falla Riguarda Anche Chi Non Usa BTCPay Server Direttamente
BTCPay Server è uno degli strumenti più diffusi per accettare pagamenti Bitcoin on-chain e Lightning senza intermediari, usato da commercianti e sviluppatori come alternativa ai processori centralizzati. Una falla che permette di aggirare il 2FA su un software di questo tipo mette potenzialmente a rischio sia i fondi custoditi sul server sia i nodi Lightning collegati, secondo CryptoTimes.
La notizia arriva mentre la community discute ancora le lezioni della quarta ondata di furti Coldcard. BitcoinLive24 ha già raccontato come, in quel caso, il multisig abbia retto ai furti solo a una condizione precisa: servono dispositivi sicuri e diversificati, non semplicemente più chiavi dello stesso produttore. Il principio vale anche per un’infrastruttura server come BTCPay Server: la sicurezza dipende dalla tempestività degli aggiornamenti tanto quanto dalla scelta iniziale degli strumenti.
La portata del problema si misura anche dalla diffusione del software: secondo l’ultimo report ufficiale del progetto, BTCPay Server si integra con oltre 30 piattaforme e-commerce — tra cui Shopify, Ghost e GiveWP — e conta più di 40 plugin pubblicati dalla community. Una falla nel sistema di autenticazione non riguarda quindi un singolo prodotto isolato, ma un nodo a cui si appoggiano decine di integrazioni di terze parti, ciascuna con la propria esposizione a store e wallet dei commercianti.
Cosa Devono Fare Subito gli Operatori BTCPay Server
Oltre al semplice aggiornamento, BTCPay Server raccomanda una serie di azioni per chiudere ogni possibile falla residua, secondo quanto riportato da CryptoTimes. Tra queste, il rinnovo dei file macaroon (le credenziali crittografiche che autorizzano l’accesso ai nodi Lightning collegati al server):
| Azione | Perché | Urgenza |
|---|---|---|
| Aggiornare alla versione 2.4.2 | Corregge il bypass 2FA sfruttato attivamente | Immediata |
| Rinnovare i file macaroon e il database macaroon.db | Le vecchie credenziali potrebbero essere compromesse | Alta |
| Ruotare le stringhe di autenticazione verso i backend Lightning | Impedisce accessi non autorizzati ai nodi collegati | Alta |
| Spostare i fondi dai wallet on-chain creati nel server | Precauzione nel caso l’exploit abbia esposto le chiavi | Alta |
| Spegnere il server se l’aggiornamento non è immediato | Elimina la superficie di attacco fino alla patch | Immediata |
Chi gestisce configurazioni complesse — più nodi Lightning, plugin di terze parti, integrazioni multiple — farebbe bene ad applicare lo stesso approccio suggerito di recente da Charles Guillemet, CTO di Ledger, a proposito della corsa al multisig dopo Coldcard: valutare il proprio modello di minaccia specifico invece di reagire d’istinto, perché la complessità aggiunta senza una motivazione precisa è spesso il punto in cui si perdono i fondi.
Prospettive: Nessuna Perdita di Fondi Confermata, per Ora
Al momento della stesura, BTCPay Server non ha reso noto quante installazioni siano state compromesse né l’ammontare di eventuali fondi sottratti, secondo The Block. La vicenda si aggiunge a una settimana intensa per la sicurezza degli strumenti di autocustodia Bitcoin, dopo le quattro ondate di furti che hanno colpito gli hardware wallet Coldcard nelle settimane precedenti. Non ci sono elementi che colleghino le due vulnerabilità — riguardano software e produttori completamente diversi — ma entrambe confermano che l’attenzione della community si sta spostando dalla sola domanda “chi controlla le chiavi” a quella, altrettanto rilevante, di quanto rapidamente vengono applicate le patch di sicurezza.
Il processo seguito in questo caso — segnalazione privata al team di sviluppo da parte di ricercatori indipendenti, patch pronta prima della divulgazione pubblica dei dettagli tecnici — è lo stesso standard di responsible disclosure adottato dai principali progetti Bitcoin open source. Per un software self-hosted come BTCPay Server, dove ogni operatore è responsabile in prima persona della propria infrastruttura, la rapidità con cui la community di sicurezza indipendente individua e segnala le falle resta la prima linea di difesa, prima ancora della singola patch.
Scarica l’app di BitcoinLive24 per restare aggiornato in tempo reale su vulnerabilità e aggiornamenti di sicurezza Bitcoin: https://bitcoinlive24.com.
Domande Frequenti
Cos’è BTCPay Server?
BTCPay Server è un processore di pagamenti Bitcoin e Lightning open source, gratuito e self-hosted, che permette a commercianti e sviluppatori di accettare pagamenti senza intermediari né commissioni di terze parti.
Come si aggiorna BTCPay Server in sicurezza dopo la falla del 7 agosto 2026?
Dal pannello Admin Dashboard si va su Server → Maintenance → Update e si verifica che il numero di versione in fondo alla pagina indichi 2.4.2. Dopo l’aggiornamento vanno rinnovati i file macaroon e ruotate le credenziali di autenticazione verso i nodi Lightning collegati.
I fondi Bitcoin sono a rischio se non si aggiorna subito?
BTCPay Server non ha confermato perdite di fondi al momento della stesura, ma raccomanda di spegnere il server se l’aggiornamento non è immediato, per eliminare la superficie di attacco finché non si applica la patch 2.4.2.
Questo articolo non costituisce consulenza finanziaria.
