Máy chủ BTCPay của bạn có an toàn không? Điều tra về việc ví nóng bị rút sạch cho thấy gì

Kẻ tấn công đã chiếm quyền quản trị các phiên bản BTCPay Server lỗi thời và rút hết tiền khỏi các ví nóng, dấu vết cho thấy lỗ hổng tồn tại từ trước bản vá tháng 08.

Thiệt hại chủ yếu xảy ra đối với những nhà vận hành không cập nhật phần mềm, và đội ngũ phát triển vẫn chưa công bố tổng thiệt hại. BTCPay Server là phần mềm xử lý thanh toán mã nguồn mở miễn phí, cho phép các đơn vị kinh doanh tự vận hành để nhận thanh toán Bitcoin. Khi sử dụng ví nóng, server sẽ tự lưu trữ private key, nhờ đó phần mềm có thể chuyển tiền mà không cần chủ vận hành ký xác nhận từng giao dịch. Do đó, bất cứ ai có quyền admin đều có thể di chuyển toàn bộ coin trên server đó.

Những phiên bản nào bị tấn công?

Đội ngũ BTCPay Server lần đầu phát cảnh báo vào cuối ngày 01/11/2024. Họ khuyến nghị tất cả nhà vận hành nên tạm dừng server của mình cho đến khi có kết quả điều tra.

Tiếp đó, phạm vi ảnh hưởng được xác định rõ hơn. Phương thức tấn công nhắm vào phiên bản 2.4.1, phát hành ngày 23/07/2026, và tất cả các bản cũ hơn. Trong khi đó, đội ngũ cho biết hiện chưa ghi nhận trường hợp bị rút tiền nào trên bản mới nhất 2.4.7.

📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc

— BTCPay Server (@BtcpayServer) November 2, 2026

Nhà sáng lập Nicolas Dorier chia sẻ rằng hacker đã đăng nhập với quyền admin trên các server bị ảnh hưởng, tuy đội ngũ vẫn chưa xác định được chính xác cách thức. Đến nay, kết quả điều tra cho thấy có lỗ hổng tồn tại từ trước phiên bản 2.4.2.

Đây đã là lần thứ hai trong vòng ba tháng, tin tặc đánh cắp tiền từ các server BTCPay vận hành phiên bản cũ hơn 2.4.2. Phiên bản này từng vá một lỗ hổng nghiêm trọng vào tháng 08, cho phép hacker từ xa đánh cắp thông tin node Lightning và rút sạch ví kết nối.

Dù thời điểm đó, lỗ hổng đã bị khai thác tích cực.

Có nên sử dụng ví nóng BTCPay Server hay không?

Các đơn vị cung cấp dịch vụ lưu trữ cũng đã hành động nhanh chóng. Theo đội ngũ BTCPay, LunaNode và một số nhà cung cấp khác có thể đã tự động dừng hoạt động của các server khách hàng chạy bản cũ để hạn chế nguy cơ bị tấn công.

Ngay cả chính Dorier vẫn đang sử dụng phiên bản 2.4.7 cùng ví nóng, nhưng anh cũng cảnh báo không nên lưu trữ quá nhiều tiền trên bất kỳ server nào.

Đừng để quá nhiều tiền trong ví nóng, chỉ nên giữ số tiền bạn sẵn sàng chấp nhận mất. Chúng tôi không thể đảm bảo điều này sẽ không xảy ra nữa.

Nicolas Dorier, X

Sự việc này cũng phản ánh vấn đề tồn tại lâu dài với các hệ thống Bitcoin tự vận hành. Gần đây, Core Lightning cũng từng cảnh báo rằng hacker nhắm tới các node chưa được cập nhật. Ở cả hai trường hợp, bản vá đã được phát hành trước khi mất tiền xảy ra, điểm yếu lớn nhất lại nằm ở những người vận hành server cài đặt một lần và không cập nhật nữa.