Критическая уязвимость BTCPay Server: Lightning-узлы под ударом

Эта статья подробно разбирает, что произошло, кто пострадал, какие экстренные меры должны были предпринять операторы, и в каком контексте безопасности проходила эта тревожная неделя.

Уязвимость BTCPay Server: логическая ошибка в аутентификации API

Эксплуатируемый дефект представлял собой логическую ошибку в слое аутентификации API, а именно в интерфейсе Greenfield API, который используется внешними интеграторами, автоматизированными системами и бэкендами кошельков . Критически важной деталью было то, что она позволяла неаутентифицированному удалённому злоумышленнику похищать файлы учётных данных LND .macaroon — токены доступа, управляющие разрешениями на узлах Lightning Network .

Получив macaroon-файлы, атакующие могли получить полный контроль над подключённым LND-узлом и опустошить балансы его каналов . Уязвимость была обнаружена и ответственно раскрыта командой Bitcoin Red Team .

Важное уточнение: Это была ошибка на уровне программного обеспечения/приложения. Основной протокол Биткоина не был скомпрометирован . Атака была нацелена на логику аутентификации платёжного процессора, а не на блокчейн Биткоина или протокол Lightning Network как таковой.

Кто пострадал

Уязвимость затрагивала в первую очередь конфигурации, использующие LND (Lightning Network Daemon) — наиболее распространённое программное обеспечение для управления Lightning-узлом .

• Мерчанты, биржи и бэкенды кошельков, запускающие BTCPay Server с LND на любой версии ниже 2.4.2, включая кандидаты на релиз 2.4.2 .
• Горячие on-chain кошельки, созданные в BTCPay, также оказались под угрозой, если атакующий получал полный контроль над сервером .
• Пользователи, которые не использовали LND или не использовали Lightning вообще, не подвергались риску кражи учётных данных .

Некоторые известные биткоин-организации, использовавшие BTCPay, подтвердили, что их Lightning-узлы были опустошены. В их числе производитель аппаратных кошельков Foundation и биткоин-издание Citadel21 .

Экстренные действия для операторов

BTCPay Server и его ведущий разработчик Николя Дорье выпустили срочное предупреждение с двумя обязательными действиями :

1. Немедленно обновиться — Перейти на версию BTCPay Server 2.4.2 через панель администратора: Admin Dashboard → Server → Maintenance → Update, и проверить номер версии в футере .
2. Отключить сервер, если нет возможности обновить его немедленно .

Кроме того, операторам сообщили, что они также должны отозвать и перегенерировать все macaroon-файлы LND, потому что установка патча только предотвращала новую кражу учётных данных. Учётные данные, уже украденные за время уязвимости, оставались действительными и могли быть использованы для вывода средств . Проект также рекомендовал обновить NBXplorer — бэкенд отслеживания кошельков BTCPay — до версии 2.6.10 .

Другие инциденты безопасности на платёжном уровне Биткоина той же недели

Эксплойт BTCPay стал вторым крупным взломом инфраструктуры Биткоина в течение примерно десяти дней. Оба произошли в конце июля и начале августа 2026 года, что некоторые СМИ назвали «неделей эксплойтов» Биткоина .

Ошибка в прошивке аппаратного кошелька Coldcard (30 июля – 3 августа)

Критическая уязвимость в прошивке Coldcard версии 4.0.0, присутствовавшая с марта 2021 года, заставляла устройство обходить свой выделенный аппаратный чип случайности при генерации ключей, вместо этого используя предсказуемый программный заменитель . Это делало сид-фразы доступными для перебора атакующими.

Злоумышленники использовали это для кражи свыше $116 млн в биткоинах с более чем 5200 адресов в четырёх волнах краж, начавшихся 30 июля . Galaxy Research отследила движение средств в блокчейне и идентифицировала как минимум 15 разных атакующих, эксплуатировавших эту уязвимость . Оценки общего ущерба варьировались от $116 млн до более $130 млн в зависимости от курса на момент отчётов .

Широкомасштабный автоматизированный аудит безопасности (8 августа)

В непосредственной реакции на инциденты с Coldcard и BTCPay группа волонтёров-разработчиков Биткоина провела скоординированный аудит безопасности с использованием AI-инструментов. За 24 часа они выявили почти 5000 уязвимостей в безопасности примерно в 400 проектах, назвав ситуацию «чрезвычайно плохой» . Результаты включали 85 критических и 635 ошибок высокой степени серьёзности, большинство из которых уже были подтверждены владельцами проектов .

Ключевые выводы для операторов Биткоина

1. Устанавливайте патчи немедленно при получении критических предупреждений. Команда BTCPay была прозрачна относительно активного эксплойта, но некоторые операторы задержали установку патча, что привело к подтверждённым потерям .
2. Отзыв учётных данных часто так же важен, как и установка патча. Патч, закрывающий уязвимость, не аннулирует уже украденные учётные данные. После обновления BTCPay операторам всё равно пришлось отзывать и перегенерировать все macaroon-файлы LND .
3. Безопасность второго уровня (Layer-2) зависит от усердия операторов первого уровня (Layer-1). Хотя протокол Lightning Network не был скомпрометирован, утечка учётных данных через API BTCPay показала, что слабости в самостоятельно размещаемом платёжном ПО могут привести к потере средств для пользователей Lightning .
4. Экосистема проводит собственный аудит. Аудит безопасности силами волонтёров с помощью AI, который обнаружил почти 5000 уязвимостей в 400 проектах, демонстрирует как масштаб проблемы, так и готовность сообщества её решать .

Инцидент с BTCPay Server и параллельный эксплойт Coldcard знаменуют собой переломный момент для безопасности инфраструктуры Биткоина. Эти события усилили призывы к более тщательному ревью кода, внедрению автоматизированных инструментов безопасности и более быстрым протоколам реагирования во всей экосистеме открытого исходного кода Биткоина.