La Settimana Nera di Bitcoin: Vulnerabilità Critica di BTCPay Server Prosciuga i Nodi Lightning

Questo articolo analizza cosa è successo, chi è stato colpito, quali azioni di emergenza gli operatori hanno dovuto intraprendere e il panorama di sicurezza più ampio durante quella tumultuosa settimana.

La Vulnerabilità di BTCPay Server: Un Errore Logico nell'Autenticazione API

Il difetto sfruttato in BTCPay Server era un errore logico nel layer di autenticazione API dell'interfaccia Greenfield API, l'interfaccia utilizzata da integratori esterni, sistemi automatizzati e backend di wallet . Fondamentalmente, permetteva a un attaccante remoto non autenticato di esfiltrare i file di credenziali .macaroon di LND — i token di accesso che governano i permessi sui nodi della rete Lightning .

Una volta ottenute le credenziali macaroon, gli attaccanti potevano prendere il pieno controllo del nodo LND connesso e svuotare i saldi dei suoi canali . La vulnerabilità è stata scoperta e divulgata in modo responsabile dal Bitcoin Red Team .

Precisazione importante: Questo era un difetto a livello software/applicativo. Il protocollo sottostante di Bitcoin non è stato compromesso . L'attacco ha preso di mira la logica di autenticazione del processore di pagamenti self-hosted, non la blockchain di Bitcoin o il protocollo della rete Lightning stesso.

Chi è Stato Colpito

La vulnerabilità ha colpito specificamente le configurazioni che utilizzavano LND (Lightning Network Daemon), il software più utilizzato per gestire un nodo Lightning .

• Commercianti, exchange e backend di wallet che eseguivano BTCPay Server con LND su qualsiasi versione precedente alla 2.4.2, incluse le release candidate della 2.4.2
• Anche i wallet on-chain caldi generati in BTCPay erano a rischio se un attaccante riusciva a prendere il controllo completo del server
• Gli utenti che non eseguivano LND o che non utilizzavano affatto Lightning non erano esposti al rischio di furto di credenziali

Diverse note organizzazioni Bitcoin che eseguivano BTCPay hanno confermato che i loro nodi Lightning erano stati prosciugati. Foundation, un produttore di wallet hardware, e Citadel21, una pubblicazione Bitcoin, sono state tra le vittime confermate .

Azioni di Emergenza Richieste agli Operatori

BTCPay Server e il suo principale manutentore Nicolas Dorier hanno emesso un avviso urgente con due imperativi :

1. Aggiornare immediatamente — Passare alla versione 2.4.2 di BTCPay Server tramite Admin Dashboard → Server → Maintenance → Update e verificare la stringa di versione nel footer .
2. Spegnere il server se non è possibile aggiornare subito .

Inoltre, è stato detto agli operatori che dovevano anche revocare e rigenerare tutte le credenziali macaroon di LND, perché l'applicazione della patch fermava solo il furto di nuove credenziali. Le credenziali già rubate durante la finestra di exploit rimanevano valide e potevano ancora essere utilizzate per prosciugare i fondi . Il progetto ha anche raccomandato di aggiornare NBXplorer, il backend di tracciamento dei wallet di BTCPay, alla versione 2.6.10 .

Altri Incidenti di Sicurezza nel Layer dei Pagamenti Bitcoin nella Stessa Settimana

L'exploit di BTCPay è stata la seconda grande violazione dell'infrastruttura Bitcoin in circa dieci giorni. Entrambi sono avvenuti tra fine luglio e inizio agosto 2026, creando quella che alcuni nella stampa hanno chiamato la "settimana degli exploit" di Bitcoin .

Difetto del Firmware del Wallet Hardware Coldcard (30 luglio – 3 agosto)

Una vulnerabilità critica nel firmware di Coldcard versione 4.0.0, presente da marzo 2021, ha causato il bypass del chip di generazione casuale hardware dedicato durante la creazione delle chiavi, utilizzando invece un sostituto software prevedibile . Questo ha reso le seed phrase enumerabili dagli attaccanti.

Gli attaccanti hanno sfruttato questo per rubare oltre 116 milioni di dollari in Bitcoin da più di 5.200 indirizzi attraverso quattro ondate di furti iniziate il 30 luglio . Galaxy Research ha tracciato i movimenti on-chain e identificato almeno 15 attaccanti diversi che sfruttavano la falla . La stima totale del furto variava da 116 milioni a oltre 130 milioni di dollari a seconda della valutazione al momento della segnalazione .

Audit di Sicurezza Automatizzato su Larga Scala (8 agosto)

In risposta diretta agli incidenti di Coldcard e BTCPay, un gruppo di sviluppatori Bitcoin volontari ha lanciato un audit di sicurezza coordinato utilizzando strumenti di IA. In 24 ore, hanno identificato quasi 5.000 vulnerabilità di sicurezza in circa 400 progetti, con la situazione descritta come "estremamente grave" . I risultati includevano 85 bug critici e 635 di alta gravità, la maggior parte dei quali già verificati dai proprietari del progetto .

Punti Chiave per gli Operatori Bitcoin

1. Applicare le patch immediatamente quando vengono emessi avvisi critici. Il team di BTCPay è stato trasparente sull'exploit attivo, ma alcuni operatori hanno ritardato l'applicazione della patch, portando a perdite confermate .
2. La revoca delle credenziali è spesso importante quanto l'applicazione della patch. Una patch che chiude una vulnerabilità non invalida le credenziali già rubate. Dopo l'aggiornamento di BTCPay, gli operatori hanno comunque dovuto revocare e rigenerare tutti i macaroon di LND .
3. La sicurezza del Layer 2 dipende dalla diligenza dell'operatore del Layer 1. Sebbene il protocollo della rete Lightning non sia stato compromesso, l'esposizione delle credenziali tramite l'API di BTCPay ha mostrato come le debolezze nel software di pagamento self-hosted possano riversarsi in perdite di fondi per gli utenti di Lightning .
4. L'ecosistema si sta auto-auditando. L'audit di sicurezza con IA guidato da volontari che ha trovato quasi 5.000 vulnerabilità in 400 progetti dimostra sia la portata del problema che la volontà della comunità di affrontarlo .

L'incidente di BTCPay Server e il parallelo exploit di Coldcard rappresentano un punto di svolta per la sicurezza dell'infrastruttura Bitcoin. Questi eventi hanno intensificato le richieste di una revisione del codice più rigorosa, di strumenti di sicurezza automatizzati e di protocolli di risposta più rapidi in tutto l'ecosistema Bitcoin open-source.