Kritická zranitelnost BTCPay Serveru vyčerpala Lightning uzly: Podrobný rozbor incidentu ze srpna 2026 a krizová opatření

Tento článek přináší podrobný rozbor toho, co se stalo, koho se incident dotkl, jaká nouzová opatření museli operátoři provést, a celkový bezpečnostní kontext tohoto bouřlivého týdne.

Zranitelnost BTCPay Serveru: Logická chyba v API autentizaci

Chyba zneužitá v BTCPay Serveru byla logickou chybou ve vrstvě API autentizace rozhraní Greenfield API, které používají externí integrátoři, automatizované systémy a backendy peněženek . Zásadní bylo, že umožnila neautentizovanému vzdálenému útočníkovi získat soubory .macaroon z LND – přístupové tokeny, které řídí oprávnění na Lightning Network uzlech .

Jakmile útočníci získali přihlašovací údaje macaroon, mohli převzít plnou kontrolu nad připojeným LND uzlem a vyprázdnit zůstatky jeho kanálů . Zranitelnost byla objevena a zodpovědně nahlášena týmem Bitcoin Red Team .

Důležité upřesnění: Jednalo se o chybu na úrovni softwaru/aplikace. Základní protokol Bitcoinu nebyl narušen . Útok se zaměřil na autentizační logiku samostatně hostovaného platebního procesoru, nikoli na samotný blockchain nebo protokol Lightning Network.

Koho se incident týkal

Zranitelnost specificky postihla konfigurace, které používaly LND (Lightning Network Daemon), nejrozšířenější software pro provozování Lightning uzlu .

• Obchodníci, burzy a backendy peněženek provozující BTCPay Server s LND na jakékoli verzi starší než 2.4.2, včetně release kandidátů 2.4.2
• Hot on-chain peněženky vytvořené v BTCPay byly rovněž ohroženy, pokud útočník získal plnou kontrolu nad serverem
• Uživatelé, kteří nepoužívali LND nebo Lightning vůbec, nebyli vystaveni riziku krádeže přihlašovacích údajů

Několik známých bitcoinových organizací provozujících BTCPay potvrdilo, že jejich Lightning uzly byly vyčerpány. Foundation, výrobce hardwarových peněženek, a Citadel21, bitcoinový publikační portál, byly mezi potvrzenými oběťmi .

Nouzová opatření vyžadovaná od operátorů

BTCPay Server a jeho hlavní správce Nicolas Dorier vydali naléhavé doporučení se dvěma imperativy :

1. Okamžitě aktualizovat – Přejít na verzi BTCPay Server 2.4.2 přes Admin Dashboard → Server → Maintenance → Update a ověřit verzi v zápatí .
2. Vypnout server, pokud aktualizace není možná .

Kromě toho byli operátoři instruováni, že musí také zneplatnit a znovu vygenerovat všechny LND macaroon přihlašovací údaje, protože oprava pouze zastavila nové krádeže přihlašovacích údajů. Již ukradené údaje zůstaly platné a mohly být nadále použity k vybírání prostředků . Projekt také doporučil aktualizovat NBXplorer, backend pro sledování peněženek BTCPay, na verzi 2.6.10 .

Další bezpečnostní incidenty bitcoinové platební vrstvy ve stejném týdnu

Exploit BTCPay byl druhým velkým narušením bitcoinové infrastruktury během zhruba deseti dnů. Oba se odehrály na konci července a začátku srpna 2026, což někteří v tisku nazvali bitcoinovým "exploit týdnem" .

Chyba firmwaru hardwarové peněženky Coldcard (30. července – 3. srpna)

Kritická zranitelnost ve firmwaru Coldcard verze 4.0.0, přítomná od března 2021, způsobila, že zařízení obešlo svůj dedikovaný hardwarový čip pro generování náhodných čísel a místo toho použilo předvídatelnou softwarovou náhradu . To umožnilo útočníkům uhodnout seed fráze.

Útočníci toho využili k odcizení bitcoinu v hodnotě přes 116 milionů dolarů z více než 5 200 adres ve čtyřech vlnách krádeží, které začaly 30. července . Galaxy Research sledovala pohyby na blockchainu a identifikovala nejméně 15 různých útočníků, kteří chybu zneužívali . Odhadovaná celková částka se pohybovala od 116 milionů do více než 130 milionů dolarů v závislosti na ocenění v době reportování .

Rozsáhlý automatizovaný bezpečnostní audit (8. srpna)

V přímé reakci na incidenty s Coldcard a BTCPay spustila dobrovolnická skupina bitcoinových vývojářů koordinovaný bezpečnostní audit s využitím AI nástrojů. Během 24 hodin identifikovali téměř 5 000 bezpečnostních zranitelností napříč zhruba 400 projekty, přičemž situace byla popsána jako "extrémně špatná" . Zjištění zahrnovala 85 kritických a 635 vysoce závažných chyb, z nichž většinu již vlastníci projektů potvrdili .

Klíčová poučení pro operátory Bitcoinu

1. Okamžitě patchovat, když jsou vydána kritická varování. Tým BTCPay byl transparentní ohledně aktivního exploitu, ale někteří operátoři s opravou otáleli, což vedlo k potvrzeným ztrátám .
2. Zneplatnění přihlašovacích údajů je často stejně důležité jako samotná oprava. Oprava, která uzavře zranitelnost, neznehodnotí již ukradené údaje. Po aktualizaci BTCPay museli operátoři stále zneplatnit a znovu vygenerovat všechny LND macaroon .
3. Bezpečnost vrstvy 2 závisí na důslednosti operátora vrstvy 1. Zatímco protokol Lightning Network jako takový nebyl narušen, expozice přihlašovacích údajů přes API BTCPay ukázala, že slabiny v samostatně hostovaném platebním softwaru mohou vést ke ztrátám prostředků pro uživatele Lightning .
4. Ekosystém se sám audituje. Dobrovolnický bezpečnostní audit s AI, který našel téměř 5 000 zranitelností ve 400 projektech, ukazuje jak rozsah problému, tak ochotu komunity se s ním vypořádat .

Incident BTCPay Serveru a paralelní exploit Coldcard představují zlomový okamžik pro bezpečnost bitcoinové infrastruktury. Tyto události zesílily výzvy k přísnější revizi kódu, automatizovaným bezpečnostním nástrojům a rychlejším protokolům reakce napříč open-source bitcoinovým ekosystémem.