{"id":4939,"date":"2026-08-11T03:13:49","date_gmt":"2026-08-11T03:13:49","guid":{"rendered":"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/"},"modified":"2026-08-11T03:13:49","modified_gmt":"2026-08-11T03:13:49","slug":"btcpay-server-bounty-fondi-rubati","status":"publish","type":"post","link":"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/","title":{"rendered":"BTCPay Server: Bounty da 3 BTC per Recuperare i Fondi Rubati"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Il team di <strong>BTCPay Server<\/strong>, il processore di pagamenti Bitcoin e Lightning open source e self-hosted, ha annunciato il 10 agosto 2026 un programma di ricompensa fino a <strong>3 BTC<\/strong> per chi contribuir\u00e0 al recupero dei fondi sottratti nella violazione della settimana scorsa. La ricompensa vale il 10% di quanto effettivamente recuperato, tetto massimo compreso, e arriva insieme a un impegno esplicito: dare priorit\u00e0 assoluta alle patch di sicurezza rispetto allo sviluppo di nuove funzionalit\u00e0. Lo ha reso noto il team nel <a href=\"https:\/\/blog.btcpayserver.org\/btcpay-server-security-incident-response-and-next-steps\/\" rel=\"noopener\" target=\"_blank\">post ufficiale sul blog di BTCPay Server<\/a>.<\/p>\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_82_2 counter-hierarchy ez-toc-counter ez-toc-transparent ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Table of Contents<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #999;color:#999\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #999;color:#999\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#Cosa_e_Successo_la_Falla_nelle_Credenziali_Macaroon_LND\" >Cosa \u00e8 Successo: la Falla nelle Credenziali Macaroon LND<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#Il_Programma_Bounty_di_BTCPay_Server_10_dei_Fondi_Tetto_a_3_BTC\" >Il Programma Bounty di BTCPay Server: 10% dei Fondi, Tetto a 3 BTC<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#La_Ricompensa_per_la_Disclosure_Responsabile\" >La Ricompensa per la Disclosure Responsabile<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#BTCPay_Server_%E2%80%9CPriorita_alle_Patch_non_alle_Nuove_Feature%E2%80%9D\" >BTCPay Server: &#8220;Priorit\u00e0 alle Patch, non alle Nuove Feature&#8221;<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#Cosa_Significa_per_gli_Utenti_Bitcoin_che_Usano_BTCPay_Server\" >Cosa Significa per gli Utenti Bitcoin che Usano BTCPay Server<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-bounty-fondi-rubati\/#Domande_Frequenti\" >Domande Frequenti<\/a><\/li><\/ul><\/nav><\/div>\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_e_Successo_la_Falla_nelle_Credenziali_Macaroon_LND\"><\/span>Cosa \u00e8 Successo: la Falla nelle Credenziali Macaroon LND<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"wp-block-paragraph\">La vulnerabilit\u00e0, corretta con la versione 2.4.2 rilasciata il 7 agosto 2026, riguardava l&#8217;esposizione non autenticata dei file macaroon: le chiavi di accesso che autorizzano il controllo di un nodo Lightning basato su LND. Su alcune istanze BTCPay Server vulnerabili, un aggressore remoto poteva prelevare queste credenziali e prosciugare il wallet Lightning collegato senza bisogno di ulteriori permessi.<\/p>\n<p class=\"wp-block-paragraph\">BitcoinLive24 ha seguito l&#8217;evolversi della vicenda fin dal primo giorno: la <a href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-server-falla-2fa-critica\/\">falla critica scoperta il 7 agosto<\/a> e, il giorno successivo, la conferma che tra i nodi svuotati c&#8217;era anche quello di <a href=\"https:\/\/bitcoinlive24.com\/news\/btcpay-falla-lightning-nodi\/\">Foundation<\/a>, l&#8217;azienda produttrice degli hardware wallet Passport. Secondo <a href=\"https:\/\/www.coindesk.com\/tech\/2026\/08\/08\/another-bitcoin-infrastructure-exploit-hits-this-time-draining-merchant-lightning-nodes\" rel=\"nofollow noopener\" target=\"_blank\">quanto riportato da CoinDesk<\/a>, il CEO di Foundation, Zach Herbert, ha confermato pubblicamente il prosciugamento del nodo, e anche <em>Citadel21<\/em>, testata indipendente dedicata a Bitcoin, ha segnalato di aver subito lo stesso furto sul proprio nodo Lightning.<\/p>\n<p class=\"wp-block-paragraph\">CoinDesk ha descritto il periodo come una &#8220;rough week&#8221; per il software Bitcoin: nello stesso arco di giorni la community aveva gi\u00e0 assorbito il <a href=\"https:\/\/bitcoinlive24.com\/news\/coldcard-bug-rng-wallet-bitcoin\/\">bug RNG di Coldcard da 116 milioni di dollari<\/a> raccontato da BitcoinLive24. Due incidenti diversi, entrambi per\u00f2 nati da errori di implementazione pi\u00f9 che da debolezze del protocollo Bitcoin in s\u00e9.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Il_Programma_Bounty_di_BTCPay_Server_10_dei_Fondi_Tetto_a_3_BTC\"><\/span>Il Programma Bounty di BTCPay Server: 10% dei Fondi, Tetto a 3 BTC<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"wp-block-paragraph\">Secondo l&#8217;annuncio ufficiale, la ricompensa per il recupero equivale al <strong>10% dei fondi restituiti<\/strong>, con un massimale fisso di 3 BTC anche in caso di recupero integrale della somma sottratta. Il programma \u00e8 aperto a chiunque fornisca informazioni utili al recupero, inclusa \u2014 esplicitamente \u2014 una comunicazione diretta da parte dello stesso aggressore. Le segnalazioni vanno indirizzate all&#8217;indirizzo email dedicato <em>security@btcpayserver.org<\/em>.<\/p>\n<p class=\"wp-block-paragraph\">Il progetto ha inoltre dichiarato di aver contattato team di sicurezza presso gli exchange, societ\u00e0 di blockchain analytics e le forze dell&#8217;ordine locali, invitando gli utenti colpiti a sporgere denuncia presso le rispettive autorit\u00e0.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"La_Ricompensa_per_la_Disclosure_Responsabile\"><\/span>La Ricompensa per la Disclosure Responsabile<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"wp-block-paragraph\">Prima ancora del bounty per il recupero, BTCPay Server ha donato 0,42 BTC a chi ha segnalato la falla in modo responsabile: 0,21 BTC a <strong>Craig Raw<\/strong>, sviluppatore del wallet Sparrow, e altrettanti al fondo del Bitcoin Red Team. Il team ha motivato la scelta con la volont\u00e0 di &#8220;apprezzare chi svolge un lavoro critico per la sicurezza&#8221; dell&#8217;ecosistema Bitcoin.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"BTCPay_Server_%E2%80%9CPriorita_alle_Patch_non_alle_Nuove_Feature%E2%80%9D\"><\/span>BTCPay Server: &#8220;Priorit\u00e0 alle Patch, non alle Nuove Feature&#8221;<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"wp-block-paragraph\">Il passaggio pi\u00f9 rilevante del post ufficiale riguarda per\u00f2 il futuro dello sviluppo. Il team ha scritto testualmente: &#8220;Per il prossimo futuro, daremo priorit\u00e0 alle patch di sicurezza e all&#8217;irrobustimento del sistema rispetto alle nuove funzionalit\u00e0 principali&#8221;. Si tratta di un impegno indefinito, non legato a una scadenza, accompagnato da un messaggio diretto agli utenti danneggiati: &#8220;A chi ha perso fondi: siamo dispiaciuti. Esamineremo i nostri errori, ma il solo rammarico non aiuta gli utenti colpiti n\u00e9 rende sicuro il progetto&#8221;.<\/p>\n\n<figure class=\"wp-block-table\"><div style=\"overflow-x:auto\"><table>\n<tr><th>Data<\/th><th>Evento<\/th><\/tr>\n<tr><td>7 agosto 2026<\/td><td>Rilasciata la versione 2.4.2, che corregge la falla sulle credenziali macaroon LND<\/td><\/tr>\n<tr><td>8 agosto 2026<\/td><td>Confermati i primi nodi Lightning svuotati, tra cui quello di Foundation<\/td><\/tr>\n<tr><td>10 agosto 2026<\/td><td>BTCPay Server pubblica il post ufficiale con bounty da 3 BTC e donazioni per 0,42 BTC<\/td><\/tr>\n<\/table><\/div><\/figure>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Cosa_Significa_per_gli_Utenti_Bitcoin_che_Usano_BTCPay_Server\"><\/span>Cosa Significa per gli Utenti Bitcoin che Usano BTCPay Server<span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p class=\"wp-block-paragraph\">Per i merchant e i self-hoster che usano BTCPay Server, il punto operativo resta lo stesso della settimana scorsa: <strong>aggiornare immediatamente alla versione 2.4.2<\/strong> \u00e8 la condizione minima per non restare esposti. La novit\u00e0 di oggi \u00e8 che il progetto mette per iscritto un cambio di priorit\u00e0 nello sviluppo, un segnale che il caso ha inciso sulla governance interna e non solo sulla gestione dell&#8217;emergenza. Per chi segue le notizie Bitcoin su BitcoinLive24, la vicenda BTCPay Server si conferma un promemoria pratico: anche gli strumenti Bitcoin nativi, pensati per l&#8217;autocustodia, non sono immuni da errori di implementazione e vanno tenuti aggiornati con la stessa attenzione riservata a un wallet exchange.<\/p>\n\n<p class=\"wp-block-paragraph\">Per restare aggiornati in tempo reale su ogni sviluppo della sicurezza Bitcoin, <a href=\"https:\/\/bitcoinlive24.com\">scarica l&#8217;app BitcoinLive24<\/a>.<\/p>\n\n<h2 class=\"wp-block-heading\"><span class=\"ez-toc-section\" id=\"Domande_Frequenti\"><\/span>Domande Frequenti<span class=\"ez-toc-section-end\"><\/span><\/h2>\n\n<h3 class=\"wp-block-heading\">Cos&#8217;\u00e8 BTCPay Server?<\/h3>\n<p class=\"wp-block-paragraph\">BTCPay Server \u00e8 un processore di pagamenti Bitcoin e Lightning Network open source e self-hosted, usato da merchant e sviluppatori per accettare pagamenti in Bitcoin senza intermediari.<\/p>\n\n<h3 class=\"wp-block-heading\">Quanto vale il bounty per il recupero dei fondi rubati?<\/h3>\n<p class=\"wp-block-paragraph\">Il bounty equivale al 10% dei fondi effettivamente recuperati, con un tetto massimo di 3 BTC anche in caso di recupero completo, secondo l&#8217;<a href=\"https:\/\/bitcoinmagazine.com\/news\/btcpay-server-offers-bitcoin-bounty\" rel=\"nofollow noopener\" target=\"_blank\">annuncio riportato da Bitcoin Magazine<\/a>.<\/p>\n\n<h3 class=\"wp-block-heading\">Chi ha scoperto la vulnerabilit\u00e0 nelle credenziali macaroon?<\/h3>\n<p class=\"wp-block-paragraph\">La disclosure responsabile \u00e8 arrivata da Craig Raw, sviluppatore del wallet Sparrow, e dal fondo del Bitcoin Red Team, entrambi ricompensati da BTCPay Server con 0,21 BTC ciascuno.<\/p>\n\n<h3 class=\"wp-block-heading\">BTCPay Server torner\u00e0 a sviluppare nuove funzionalit\u00e0?<\/h3>\n<p class=\"wp-block-paragraph\">Il team non ha fissato una scadenza: per il prossimo futuro le patch di sicurezza e l&#8217;irrobustimento del sistema avranno priorit\u00e0 sulle nuove feature, secondo quanto dichiarato nel post ufficiale del progetto.<\/p>\n\n<h3 class=\"wp-block-heading\">Come posso proteggere il mio nodo BTCPay Server?<\/h3>\n<p class=\"wp-block-paragraph\">Il primo passo resta l&#8217;aggiornamento immediato alla versione 2.4.2, che chiude la falla sulle credenziali macaroon LND sfruttata nell&#8217;attacco di inizio agosto.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Il team di BTCPay Server, il processore di pagamenti Bitcoin e Lightning open source e self-hosted, ha annunciato il 10 agosto 2026 un programma di&#8230;<\/p>\n","protected":false},"author":2,"featured_media":265,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[12],"tags":[],"class_list":["post-4939","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia"],"_links":{"self":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/4939","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/comments?post=4939"}],"version-history":[{"count":0,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/posts\/4939\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media\/265"}],"wp:attachment":[{"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/media?parent=4939"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/categories?post=4939"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/bitcoinlive24.com\/news\/wp-json\/wp\/v2\/tags?post=4939"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}