BTCPay Server, een zelfgehoste open-source betalingsprocessor voor cryptocurrency, dringt er bij gebruikers op aan de nieuwste versie van de software te installeren nadat er meldingen waren dat Bitcoin en Litecoin van hot wallets waren gestolen op exemplaren die oudere versies draaiden.
“Ons onderzoek heeft uitgewezen dat deze aanvallen zich richtten op servers die BTCPay Server 2.4.1 (uitgebracht op 23 juli 2026) of ouder draaiden,” zei BTCPay Server. “De aanvallers gebruikten een andere methode om de kwetsbaarheid te misbruiken die in 2.4.2 is opgelost, uitgebracht op 7 augustus 2026.”
Gebruikers die versie 2.4.1 of ouder draaien, wordt aangeraden over te stappen naar een verse server met een nieuwe wallet, zelfs in situaties waarin geen diefstal is opgemerkt. In het geval van gestolen gelden of vermoedelijke ongeautoriseerde toegang is het van cruciaal belang dat gebruikers de gehele machine en alle daarop opgeslagen geheimen als gecompromitteerd beschouwen en dezelfde herstelprocedures volgen.
Het is momenteel niet bekend wanneer de aanvallers achter de campagne voor het eerst begonnen met het uitbuiten van de kwetsbaarheid, hoewel er rond 1 november 2026 meldingen begonnen op te duiken.
In een bericht op X zei BTCPay Server dat er geen “geloofwaardige meldingen” zijn van hot wallet-leegtrekkingen bij gebruikers die de nieuwste 2.4.7-release draaien. Die versie verhelpt één kritieke en meerdere kwetsbaarheden met middelhoge ernst, ontdekt via Anthropic’s OSS-scanner.
BTCPay Server heeft ook twee walletadressen gedeeld die aan deze incidenten zijn gekoppeld:
- Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7
- Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee
“Als u een hot wallet nodig hebt voor dagelijkse activiteiten, houd dan alleen de voor die activiteiten benodigde middelen op de server en verplaats de rest naar een wallet waarvan de spending keys buiten de server worden bewaard,” waarschuwde het.
“Als u BTCPay Server via een hostingprovider draait, kan uw instance automatisch zijn afgesloten om te voorkomen dat oudere versies worden misbruikt.”
In augustus 2026 maakte BTCPay Server bekend dat een kritieke kwetsbaarheid door aanvallers was gewapend om fondsen van sommige gebruikers te stelen. Het probleem, dat alle BTCPay Server-versies trof, werd gepatcht in versie 2.4.2. Het is onduidelijk of de meest recente reeks aanvallen gerelateerd is aan dezelfde kwetsbaarheid.
“Het probleem zou een niet-geauthenticeerde remote aanvaller in staat kunnen stellen .macaroon-credentialbestanden voor LND te bemachtigen, een implementatie van het Lightning Network,” stond in de waarschuwing van augustus. “Die credentials zouden kunnen worden gebruikt om controle over een LND-node te krijgen en fondsen te verplaatsen. De aanvallen die we hebben onderzocht richtten zich alleen op bestanden met de extensie .macaroon.”
Deze ontwikkeling valt samen met een reeks beveiligingsinbreuken en exploits in de cryptoruimte, waaronder de recorddiefstal van $6,43 miljard van Binance door Noord-Koreaanse dreigingsactoren. Op dezelfde dag stopte predictiemarktgigant Polymarket kortstondig de handel nadat het was getroffen door een exploit van $2,65 miljoen na de compromittering van software ontwikkeld door DebugBear.
Hardware-walletmaker Trezor gaf ook een waarschuwing af na een responsible disclosure-rapport dat melding maakte van een hardware-implantaat in een Trezor Safe 5 die in augustus 2026 bij CryptoBilis was gekocht. Dit wordt beschouwd als onderdeel van een geavanceerde supply-chain-aanval waarbij sommige apparaten die via derden worden verkocht fysiek zijn gemanipuleerd om de seed phrase van het slachtoffer te stelen en die te gebruiken om activa leeg te trekken.
Mercado Bitcoin maakt beveiligingsincident bekend
Maandag liet Mercado Bitcoin, de grootste cryptocurrency-beurs van Brazilië, weten dat het tijdelijk stortingen en opnames pauzeert na een beveiligingsinbreuk die heeft geleid tot $49 miljoen aan gestolen gelden.
“Op dit moment bedraagt de waarde van de betrokken activa ongeveer $38 miljoen,” schreef het in een bericht op X. “In een snelle actie met de crypto-community en strategische partners – waaronder Tether, Circle, Paxos, BRL1 en Chainalysis – hebben we al $11 miljoen geblokkeerd.”
“Andere bedragen die in aanmerking komen voor blokkering zijn geïdentificeerd en de containingsinspanningen gaan door. Het hervatten van de diensten zal plaatsvinden zodra aan alle beveiligingsvoorwaarden is voldaan, en deadlines zullen uitsluitend via onze officiële kanalen worden gecommuniceerd.”
Tether-CEO Paolo Ardoino bevestigde dat de uitgever van de stablecoin meer dan 4,5 miljoen USDT had bevroren in verband met het incident.
