A exploração de uma falha de segurança em servidores desatualizados do BTCPay Server resultou no furto de aproximadamente US$ 1,63 milhão em Bitcoin e Litecoin, conforme revelou uma análise publicada nesta segunda-feira (3) pela empresa de inteligência blockchain Bitquery. Os ataques ocorreram entre os dias 20 de outubro e 2 de novembro e visaram instâncias da plataforma de pagamentos que operavam com a versão 2.4.1 ou anteriores.
A equipe do BTCPay Server destacou, em publicação feita no blog oficial, que a brecha explorada pelos cibercriminosos utilizou um método diferente para burlar uma vulnerabilidade que já havia sido corrigida no início de agosto. “Servidores desatualizados deixam fundos expostos a qualquer invasor que obtenha acesso administrativo”, afirmou a equipe do projeto, em comunicado oficial sobre o incidente.
O caso evidenciou os riscos associados ao uso de “carteiras quentes”, que mantêm as chaves privadas armazenadas diretamente no servidor para permitir pagamentos automáticos sem a necessidade de assinaturas manuais a cada transação. Conforme destacou o BTCPay Server, a falta de manutenção e o atraso na instalação de pacotes de correção criaram brechas críticas que permitiram a invasão de instâncias desatualizadas.
A Bitquery detalhou que a maior parte dos recursos subtraídos foi movimentada em poucas horas enquanto os servidores continuavam operando sem os devidos patches de segurança (correções de software para eliminar vulnerabilidades).
