Btcpay đối mặt báo cáo trộm Bitcoin từ ví nóng

Các nhà phát triển Btcpay kêu gọi ngừng hoạt động ngay lập tức khi các ví Bitcoin bị cướp sạch

Vào khoảng 22:25 UTC ngày 1/11, tài khoản chính thức của Btcpay Server đã đăng tải một thông báo khẩn cấp:

"Chúng tôi đang nhận được các báo cáo về việc các ví nóng trên BTCPay Server bị các kẻ tấn công trái phép đánh cắp."

Các nhà điều hành được hướng dẫn tắt các máy chủ của mình bằng lệnh ./btcpay-down.sh cho đến khi các nhà điều tra xác định được nguyên nhân sự việc. Nhà phát triển Uncle Rockstar, một thành viên cốt lõi của dự án, đã nhấn mạnh cảnh báo này, tuyên bố: "Đây không phải là cuộc diễn tập: hãy tắt máy chủ BTCPay Server của bạn ngay lập tức nếu bạn đang sử dụng ví nóng."

Btcpay Server là phần mềm mã nguồn mở cho phép các thương nhân chấp nhận thanh toán bằng bitcoin (BTC) mà không cần dựa vào trung gian thanh toán truyền thống. Các nhà điều hành có thể tự lưu trữ phần mềm và quản lý cơ sở hạ tầng ví của riêng mình. Sự độc lập đó đi kèm với trách nhiệm.

Tính đến thời điểm viết bài, các nhà phát triển vẫn chưa tiết lộ tổng số bitcoin bị đánh cắp cũng như số lượng thương nhân bị ảnh hưởng. Cảnh báo ban đầu cũng không cung cấp thông tin xác nhận về cách thức những kẻ tấn công xâm nhập vào các hệ thống bị xâm phạm.

Người sáng lập chỉ ra các phiên bản cũ khi cuộc điều tra thu hẹp phạm vi

Nicolas Dorier, người sáng lập Btcpay Server, sau đó đã đưa ra lời giải thích cụ thể hơn. Kết quả điều tra sơ bộ của ông cho thấy các hệ thống bị ảnh hưởng đang chạy phần mềm có phiên bản cũ hơn 2.4.2. Theo báo cáo, những kẻ tấn công đã giành được quyền truy cập quản trị viên, với các dấu vết pháp y chỉ ra các lỗ hổng tồn tại trong các phiên bản cũ đó.

Dorier cũng cho biết các máy chủ công khai và máy chủ demo chạy phiên bản 2.4.7 chưa bị tấn công. Sự khác biệt này làm giảm khả năng rằng chính bản phát hành khẩn cấp mới nhất đã gây ra sự cố được báo cáo. Tuy nhiên, điều này không chứng minh rằng mọi bản cài đặt hiện tại đều an toàn, và các nhà điều tra vẫn chưa công bố báo cáo kỹ thuật đầy đủ.

Trước đó, vào tháng 8, dự án đã khắc phục một lỗ hổng riêng biệt cho phép những kẻ tấn công chưa được xác thực lấy được thông tin đăng nhập macaroon của Lightning Network Daemon (LND), vốn đóng vai trò như các mã thông báo ủy quyền. Lỗ hổng đó đã được khắc phục trong phiên bản 2.4.2. Các nhà phát triển trước đó cho biết các ví trên chuỗi của chính Btcpay không bị lộ thông tin qua lỗ hổng cụ thể đó.

Vẫn chưa thể kết luận một cách chắc chắn liệu các vụ trộm gần đây có liên quan đến cùng một lỗ hổng, một lỗ hổng cũ khác hay nhiều lỗ hổng hay không.

Việc cải tổ bảo mật AI đã khắc phục 85 lỗ hổng chỉ vài ngày trước khi có cảnh báo

Thời điểm này lại thêm một tình tiết mới. Vào ngày 29 tháng 10, Btcpay Server đã phát hành phiên bản 2.4.7 sau khi nhận được các báo cáo về lỗ hổng được tạo ra thông qua sáng kiến quét bảo mật mã nguồn mở của Anthropic. Bản phát hành này đã khắc phục 85 phát hiện, bao gồm 1 lỗ hổng nghiêm trọng, 13 lỗ hổng mức độ cao, 52 lỗ hổng mức độ trung bình và 19 lỗ hổng mức độ thấp.

Các thông tin này được công bố trong bối cảnh nghiên cứu lỗ hổng bảo mật có sự hỗ trợ của AI đang mở rộng trên diện rộng vào năm 2026, khi các hệ thống do các "gã khổng lồ" AI như Anthropic, OpenAI và Google phát triển đã thể hiện khả năng ngày càng tinh vi trong việc xác định các điểm yếu của phần mềm. Chỉ riêng sáng kiến quét lỗ hổng của Anthropic đã báo cáo hơn 29.000 lỗ hổng tiềm ẩn trong vòng sáu tháng, mặc dù chỉ một phần trong số đó được kiểm tra thủ công.

Vụ việc của Btcpay minh họa sự khác biệt quan trọng giữa việc phát hiện lỗ hổng và việc bảo vệ phần mềm đã được triển khai. Việc công bố các bản vá không tự động cập nhật các máy chủ được vận hành độc lập.

Các thương nhân ngừng hoạt động máy chủ trong khi cuộc điều tra vẫn tiếp diễn

Các doanh nghiệp, bao gồm Coincards, đã ngừng hoạt động các hệ thống Btcpay sau cảnh báo. Đối với các nhà bán lẻ, sự gián đoạn này tạo ra một sự đánh đổi ngay lập tức giữa khả năng thanh toán và việc bảo vệ số tiền có thể truy cập qua các ví kết nối. Dorier nhấn mạnh tầm quan trọng của việc giới hạn số dư trong ví nóng ở mức mà các nhà điều hành có thể chấp nhận mất.

Trong các bản cập nhật được cung cấp, chưa có ước tính tổn thất chính thức, bản vá mới dành riêng cho sự cố này hay thông báo an toàn nào được công bố. Các nhà phát triển đang chuẩn bị một lời giải thích đầy đủ hơn. Câu hỏi đáng lo ngại này không chỉ dừng lại ở Btcpay: Khi các hệ thống AI đẩy nhanh quá trình phát hiện lỗ hổng, liệu cơ sở hạ tầng thanh toán được vận hành độc lập có thể theo kịp các bản vá lỗi hay không?