O BTCPay Server, uma das principais soluções de código aberto para processamento de pagamentos em Bitcoin, está no centro de um alerta grave de segurança. Operadores de instâncias auto-hospedadas receberam avisos sobre ataques ativos que resultaram no esvaziamento de carteiras de criptomoedas conectadas aos servidores, especialmente em instalações que utilizam versões antigas do software.
Em 2 de novembro de 2026, a equipe do projeto confirmou que os ataques identificados atingem instâncias executando a versão 2.4.1 ou anteriores. Após receber relatos de movimentações não autorizadas, os desenvolvedores recomendaram inicialmente o desligamento dos servidores enquanto investigavam a origem das invasões. Posteriormente, a investigação identificou o intervalo de versões associado aos incidentes e apontou a versão 2.4.7 como a atualização recomendada, sem relatos confiáveis de drenagem de carteiras nessa versão.
O episódio reforça um dos principais desafios da soberania financeira digital: controlar a própria infraestrutura também significa assumir a responsabilidade por sua segurança. Para comerciantes, administradores Linux e operadores de nós, manter um processador de pagamentos conectado à internet sem atualizações representa um risco que pode resultar em perdas financeiras irreversíveis.
Falha crítica no BTCPay Server expõe carteiras online a criminosos
O incidente chamou a atenção da comunidade porque os invasores conseguiram obter acesso administrativo às instâncias comprometidas. Com esse nível de privilégio, um criminoso pode alcançar configurações sensíveis, acessar componentes internos do serviço e procurar mecanismos que permitam movimentar fundos associados à infraestrutura.
A investigação divulgada pelo projeto identificou um vetor de ataque direcionado a instalações com BTCPay Server 2.4.1 ou anteriores. A versão 2.4.1 havia sido disponibilizada em 23 de julho de 2026, enquanto a atualização 2.4.2 chegou em agosto com correções importantes de segurança.
Até o momento, entretanto, os desenvolvedores não divulgaram uma explicação técnica completa sobre o mecanismo utilizado para obter acesso administrativo nos ataques mais recentes. Portanto, não é correto atribuir a invasão a uma falha específica de autenticação, execução remota de código ou exposição de credenciais sem uma confirmação oficial.
Existe um antecedente importante. Em agosto de 2026, o projeto publicou um alerta sobre uma vulnerabilidade crítica que permitia a atacantes remotos não autenticados obter arquivos de credenciais .macaroon do Lightning Network Daemon (LND). Esses arquivos poderiam ser utilizados para assumir o controle de um nó Lightning e movimentar fundos.
A correção desse problema foi disponibilizada na versão 2.4.2. O projeto confirmou que houve exploração da vulnerabilidade anterior e que usuários sofreram perdas financeiras. Embora os incidentes recentes também envolvam instalações antigas, ainda não existe confirmação de que os dois episódios utilizem exatamente o mesmo mecanismo.
Outro elemento relevante é a participação da Anthropic no trabalho de segurança do projeto. O scanner de código aberto Frontier OSS, associado ao programa de análise de software da empresa, contribuiu para identificar problemas no código do BTCPay Server.
A versão 2.4.7, publicada em 29 de outubro, corrige 85 problemas de segurança identificados durante essa análise, distribuídos entre uma vulnerabilidade crítica, 13 de alta gravidade, 52 de gravidade média e 19 de baixa gravidade.
Isso demonstra como auditorias automatizadas podem contribuir para encontrar problemas em projetos de código aberto, mas também evidencia que a descoberta de vulnerabilidades precisa ser acompanhada por correções rápidas e pela instalação efetiva das atualizações.
Impacto nos usuários e medidas emergenciais tomadas pelo projeto
O impacto mais preocupante é financeiro. Diferentemente de um incidente que provoca apenas indisponibilidade temporária, o comprometimento de uma carteira conectada pode permitir que os criminosos transfiram criptomoedas para endereços sob seu controle.
Os relatos recebidos pela equipe envolvem carteiras online (hot wallets) associadas a instalações antigas do BTCPay Server. Também existem referências a movimentações envolvendo Bitcoin e Litecoin, mas o projeto ainda não apresentou um balanço definitivo sobre o número de vítimas ou o volume total de fundos roubados.
Uma hot wallet mantém suas chaves em um ambiente conectado à internet. Essa característica facilita operações automáticas, recebimentos e pagamentos, mas também aumenta a exposição quando o servidor que administra a carteira é comprometido.
A equipe do BTCPay Server adotou inicialmente uma postura emergencial: recomendou que todos os operadores desligassem suas instâncias enquanto a investigação estava em andamento. A orientação foi especialmente importante porque, naquele momento, ainda não havia uma delimitação definitiva das versões afetadas.
O procedimento de desligamento indicado pelo projeto utiliza o seguinte comando:
./btcpay-down.shPosteriormente, em 2 de novembro, os desenvolvedores identificaram o direcionamento dos ataques contra versões 2.4.1 ou anteriores e informaram que não havia relatos confiáveis de carteiras drenadas na versão 2.4.7.
Para quem suspeita de comprometimento, simplesmente atualizar o software não deve ser considerado suficiente. Uma instalação invadida precisa passar por uma investigação, pois credenciais, chaves e outros componentes podem ter sido expostos antes da aplicação da correção.
Usuários afetados devem preservar registros, horários de acesso, movimentações financeiras e evidências técnicas, evitando apagar arquivos ou reinstalar o servidor antes de documentar o incidente.
O projeto disponibilizou o endereço security@btcpayserver.org para receber informações e registros relacionados aos incidentes. As vítimas também devem considerar a comunicação às autoridades competentes e às plataformas de criptomoedas envolvidas, principalmente quando houver endereços de destino identificáveis.
Como atualizar o BTCPay Server e proteger seus fundos
A prioridade dos operadores é identificar a versão instalada e migrar para a versão 2.4.7. Entretanto, existe uma distinção importante: servidores comprometidos devem ser tratados como incidentes de segurança, e não apenas como instalações que precisam de uma atualização convencional.
Se a instância estiver executando a versão 2.4.1 ou anterior, a recomendação emergencial é mantê-la desligada até que seja possível aplicar a atualização com segurança. Não mantenha o serviço exposto à internet enquanto aguarda uma janela de manutenção.
Atualização pela interface web
Quando a instalação estiver acessível e não houver indícios de comprometimento, operadores podem utilizar o mecanismo de manutenção disponibilizado pela interface administrativa.
O procedimento geral é:
- Acesse o painel administrativo do BTCPay Server com uma conta autorizada.
- Entre em Configurações do servidor.
- Localize a seção Manutenção.
- Procure a opção de atualização da instalação.
- Execute o procedimento e aguarde a conclusão.
- Verifique novamente a versão instalada e confirme que o serviço está funcionando corretamente.
A nomenclatura e a disponibilidade das opções podem variar conforme a implantação e o método de gerenciamento utilizado.
Atualização pelo terminal em instalações Docker
Administradores que utilizam implantações baseadas em Docker podem executar a manutenção pelo terminal, utilizando SSH para acessar o servidor.
Primeiro, conecte-se à máquina:
ssh usuario@IP_DO_SERVIDOREntre no diretório em que a implantação do BTCPay Server foi configurada. Em instalações que utilizam o mecanismo padrão de implantação, esse diretório normalmente contém os scripts de gerenciamento do serviço.
Antes de continuar, confirme que está no local correto:
ls -laSe a instalação utilizar o script oficial de atualização, execute:
./btcpay-update.shO procedimento atualiza os componentes da implantação conforme a configuração utilizada. Aguarde a conclusão e verifique se os contêineres foram iniciados corretamente.
Para conferir os serviços:
docker psAtenção: os comandos pressupõem uma implantação compatível com os scripts oficiais. Instalações personalizadas podem exigir procedimentos diferentes. Consulte a documentação correspondente ao método de implantação antes de executar alterações.
Medidas adicionais para proteger as carteiras
A atualização corrige vulnerabilidades conhecidas, mas não elimina automaticamente as consequências de um comprometimento anterior.
Administradores devem adotar algumas medidas adicionais:
- Verifique os saldos: compare os valores atuais das carteiras com os registros de transações anteriores.
- Revise os acessos administrativos: procure sessões, contas e atividades que não reconhece.
- Investigue os registros: examine logs do BTCPay Server, do sistema operacional, do proxy reverso e dos componentes Lightning.
- Revise as credenciais: considere comprometidos os segredos e tokens acessíveis à instalação invadida.
- Proteja as chaves: avalie a migração dos fundos para carteiras novas e seguras, com chaves geradas em ambiente confiável.
- Reduza a exposição: utilize autenticação multifator, restrições de acesso administrativo e monitoramento contínuo.
Se houver suspeita de invasão, não restaure simplesmente um backup potencialmente comprometido sobre o mesmo ambiente. A reconstrução em uma instalação limpa, acompanhada da rotação de credenciais, oferece uma abordagem mais segura.
Conclusão: A lição da soberania digital em ambientes auto-hospedados
O incidente envolvendo o BTCPay Server demonstra que utilizar software livre e controlar a própria infraestrutura não significa estar automaticamente protegido contra ataques cibernéticos. A autonomia oferecida por uma solução auto-hospedada precisa ser acompanhada de atualizações frequentes, monitoramento e boas práticas de segurança.
A versão 2.4.7 representa a atualização recomendada pelo projeto, especialmente diante dos problemas de segurança identificados nas auditorias recentes. A ausência de relatos confiáveis de carteiras drenadas nessa versão é um sinal positivo, mas não deve ser interpretada como garantia absoluta de segurança.
Uma investigação independente da Bitquery, baseada na análise de transações em blockchain, estimou que os endereços associados ao roubo receberam aproximadamente US$ 1,63 milhão, correspondentes a 18,38 BTC e 3.405 LTC. Esse levantamento não representa um balanço oficial de vítimas ou perdas divulgado pelo BTCPay Server, mas dimensiona a gravidade potencial do incidente.
Para administradores, a principal lição é clara: carteiras online devem armazenar apenas os fundos necessários às operações, enquanto reservas maiores precisam permanecer em ambientes mais protegidos, preferencialmente com armazenamento offline e controles adicionais de autorização.
Também é fundamental estabelecer uma rotina de manutenção que inclua atualização de contêineres, revisão de permissões, auditoria de logs, proteção de credenciais e acompanhamento dos comunicados de segurança dos projetos utilizados.
O software livre oferece transparência e liberdade tecnológica, mas a segurança de uma instalação depende também das decisões de quem a administra.