BTCPay Server ha avvertito il 7 agosto che una vulnerabilità critica è sotto attacco attivo e può causare perdita di fondi. Il progetto invita a aggiornare immediatamente alla versione 2.4.2 o a disattivare il server.
L’avviso ufficiale di BTCPay Server
BTCPay Server, il software open source e self-hosted per accettare pagamenti Bitcoin, ha pubblicato l’avviso tramite il proprio account X ufficiale venerdì 7 agosto. Il messaggio non lascia spazio a interpretazioni: «Esiste una vulnerabilità critica che viene attivamente sfruttata sul server di BTCPay e che può comportare la perdita di fondi.».
Il progetto ha indicato il percorso esatto per applicare la correzione: Admin Dashboard, poi Server, poi Maintenance, quindi Update. Dopo l’aggiornamento, gli operatori devono verificare che il footer della propria istanza mostri la stringa di versione 2.4.2.
Per chi non riesce a intervenire immediatamente, l’indicazione è netta e binaria. «Se non riesci ad aggiornare subito, disattiva il tuo server BTCPay per impedire accessi non autorizzati finché non potrai aggiornare». Un server offline non può essere sfruttato. Uno online e non aggiornato, invece, resta esposto.
Cosa si sa della vulnerabilità
Il vettore d’attacco esatto non è stato divulgato pubblicamente, così come l’ammontare totale delle eventuali perdite. Le note di rilascio del progetto sono altrettanto dirette: «Questa versione contiene la correzione di una vulnerabilità critica che viene attivamente sfruttata. È necessario aggiornare il prima possibile.».
BTCPay Server ha ringraziato pubblicamente il Bitcoin Red Team, che ha gestito la divulgazione responsabile della falla, fornendo i dettagli necessari per correggerla. Al momento della pubblicazione dell’avviso non risultavano confermati né il numero di vittime né la cifra esatta dei fondi sottratti.
Il progetto mantiene un contatto ufficiale per la sicurezza all’indirizzo email dedicato e accetta segnalazioni di vulnerabilità tramite la piattaforma huntr.dev. Chi gestisce un’istanza BTCPay Server non ha, secondo l’avviso stesso, altra scelta reale: aggiornare subito oppure spegnere il servizio.
La comodità di gestire in autonomia l’infrastruttura di pagamento comporta anche la piena responsabilità degli aggiornamenti di sicurezza. Chi ben si guarda, mai si duole: meglio un’ora di fermo controllato che giorni a inseguire fondi perduti.
Il contesto della settimana per la sicurezza Bitcoin
L’episodio si inserisce in una settimana particolarmente intensa per la sicurezza legata a Bitcoin e alla self-custody. Secondo le fonti disponibili, questo rappresenta il terzo evento rilevante di sicurezza su custodia Bitcoin o crypto registrato nello stesso periodo, un fattore che ha alimentato un sentiment complessivamente più prudente verso le infrastrutture self-hosted.
Gli operatori che gestiscono BTCPay Server per accettare pagamenti da clienti dovrebbero considerare prioritaria la verifica immediata della versione installata. Non si tratta di un aggiornamento opzionale da rimandare, ma di una misura urgente indicata direttamente dal team di sviluppo.
