ARTFEED — Contemporary Art Intelligence

Vulnerabilità di BTCPay Server Sfruttata, Prosciugati i Nodi Lightning dei Commercianti

digital · 2026-08-09

Una significativa falla di sicurezza in BTCPay Server, un processore di pagamenti Bitcoin open-source, è attualmente sfruttata, consentendo agli attaccanti di sottrarre Bitcoin dai nodi Lightning Network. Venerdì, BTCPay ha riconosciuto gli attacchi e ha consigliato agli operatori che utilizzano LND di aggiornare alla versione 2.4.2 o di mettere offline i propri server vulnerabili. Sebbene il numero di utenti colpiti e l'ammontare di Bitcoin rubati non siano stati divulgati, sia Foundation che Citadel21 hanno riportato perdite. Questa vulnerabilità ha permesso l'accesso remoto ai file .macaroon, consentendo agli attaccanti di controllare i canali e trasferire fondi senza autenticazione del server. Scoperta dal Bitcoin Red Team, la falla è attribuita a Craig Raw, Rob Hamilton, Calle e Evan Kaloudis. BTCPay ha sottolineato l'urgenza di aggiornamenti o spegnimenti dei server, con un'analisi post-mortem in arrivo.

Fatti principali

  • Vulnerabilità critica in BTCPay Server sfruttata, prosciugando Bitcoin dai nodi Lightning Network.
  • BTCPay Server ha confermato gli attacchi venerdì sera, esortando gli operatori LND ad aggiornare alla versione 2.4.2 o a mettere offline i server.
  • Gli attaccanti hanno avuto accesso remoto ai file .macaroon contenenti le credenziali per controllare i nodi Lightning LND.
  • Foundation, un produttore di hardware wallet Bitcoin, ha visto prosciugare il proprio nodo Lightning; il CEO Zach Herbert lo ha confermato.
  • Citadel21, una pubblicazione Bitcoin, ha anche riportato che il suo nodo Lightning è stato svuotato.
  • La vulnerabilità non colpisce i portafogli on-chain standard generati all'interno di BTCPay.
  • La falla è stata scoperta dai membri del Bitcoin Red Team Craig Raw, Rob Hamilton, Calle e Evan Kaloudis.
  • La scoperta fa parte di un'iniziativa di revisione del codice assistita da IA che ha generato migliaia di risultati.
  • BTCPay non ha divulgato il numero di server colpiti o il totale di Bitcoin rubati.
  • Agli operatori è stato consigliato di applicare la patch immediatamente o di mettere offline i server.
  • L'impatto completo è previsto dopo l'analisi post-mortem.

Entità

Artisti

  • Zach Herbert
  • hodlonaut
  • Craig Raw
  • Rob Hamilton
  • Calle
  • Evan Kaloudis

Istituzioni

  • BTCPay Server
  • Foundation
  • Citadel21
  • Bitcoin Red Team

Fonti