BTCPay يوصي بإيقاف خوادمه وسط بلاغات سحب أموال من محافظ ساخنة
الحقائق الرئيسية
أوصى مشروع BTCPay Server مشغلي مثيلاته بإيقافها مؤقتاً، مع استمرار التحقيق في بلاغات عن سحب أموال من محافظ ساخنة دون تصريح. وقال المشروع، بحسب ما نقلته TokenPost في 1 نوفمبر 2026، إن المشغلين عليهم إيقاف الخدمات بالأمر «./btcpay-down.sh» إلى حين اكتمال التحقيق. وتثير التوصية احتمال تعطل قبول مدفوعات بيتكوين لدى التجار الذين يشغّلون النظام بأنفسهم. ولم يعلن الفريق حصيلة للخسائر أو عدد الخوادم المتضررة. كما لم يحدد بعد كيفية حصول المهاجمين على الدخول إلى المثيلات.
قال مؤسس المشروع نيكولا دورير إن البلاغات تبدو مرتبطة بإصدارات BTCPay Server الأقدم من 2.4.2، لكنه لم يقدّم ذلك بوصفه نطاقاً مؤكداً للحادثة. وأضاف أن المهاجم دخل إلى المثيلات المتضررة بصفة مسؤول، بينما لم يكن الفريق قد حدد طريقة الحصول على هذا الوصول. وذكر دورير أن الخوادم العامة التابعة للمشروع، التي تعمل بالإصدار 2.4.7، لم تتعرض للهجوم. ولا يحسم ذلك ما إذا كان الإصدار الأحدث يمنع الحادثة في عمليات النشر الأخرى. التحقيق لا يزال جارياً، ولم تتوافر أرقام عن عدد المتضررين أو قيمة الأموال المسحوبة.
وتختلف البلاغات الجديدة عن ثغرة أمنية سابقة عالجها الإصدار 2.4.2، إذ تعلقت تلك الثغرة بملفات اعتماد عقدة LND. وقالت BTCPay في تنبيهها المنشور في 7 أغسطس 2026 إن الثغرة كانت حرجة وتؤثر في الإصدارات السابقة، وإنها قد تتيح لمهاجم عن بُعد غير موثّق الوصول إلى ملفات الاعتماد. وقد تسمح تلك الملفات بالسيطرة على عقدة LND وتحريك الأموال. لكن المشروع قال إن الخطر يخص عمليات النشر التي تستخدم LND، وإن محافظ BTCPay على السلسلة، بما فيها المحافظ الساخنة، لم تتأثر بتلك الثغرة. لذلك لا يثبت التنبيه السابق أن الحادثة الحالية ناجمة عن الثغرة نفسها.
وفي حادثة أغسطس المرتبطة بثغرة LND، قالت خدمة IVPN إن مهاجماً استخرج بيانات اعتماد عقدتها وحوّل أموال التشغيل في معاملتين بلغ مجموعهما 0.6168 بيتكوين. وأوضحت الشركة أن المهاجم لم يصل إلى الخادم الأساسي، وأن الاختراق اقتصر على تطبيق الدفع، كما قالت إن الهجوم لم يكن موجهاً إليها تحديداً. وتعطلت مدفوعات Lightning على موقع IVPN من 7 إلى 10 أغسطس، بينما استمرت وسائل الدفع الأخرى التي ذكرتها الشركة، ومنها بيتكوين على السلسلة وMonero والبطاقات وPayPal. وقالت IVPN إنها رأت إفصاح الثغرة مساء 7 أغسطس، فأوقفت منظومة الدفع فوراً وحدّثتها. وتقدم تلك الواقعة سياقاً أمنياً سابقاً، لكنها لا تحدد حجم الخسائر أو الأضرار في البلاغات الجديدة.
وكان الإصدار 2.4.7 قد صدر في 29 أكتوبر، وقالت ملاحظات إصداره إنه يعالج 85 نتيجة أمنية رصدها الفحص، مع توصية خاصة بالتحديث للخوادم المشتركة بين عدة تجار. وذكر دورير أن خوادم المشروع العامة على هذا الإصدار لم تتعرض للهجوم، فيما لم يعلن الفريق أن التحديث يمثل حلاً للحادثة الجديدة. وفي تنبيه أغسطس السابق، نصحت BTCPay مستخدمي LND الذين لا يستطيعون التحديث فوراً بإبقاء الخادم دون اتصال إلى حين التحديث. وقالت أيضاً إن الإصدار 2.4.2 يعيد إنشاء بيانات اعتماد macaroons تلقائياً عند التحديث، ويحدّث LND إلى الإصدار 0.21.1. ودعت مستخدمي LND إلى مراجعة المدفوعات وإغلاقات القنوات والأرصدة بحثاً عن نشاط غير معروف.
وقالت BTCPay في أعقاب الحادثة السابقة إنها ستعد تقريراً كاملاً وتنشره عندما يصبح جاهزاً. أما في البلاغات الحالية، فأوصى المشروع بإيقاف المثيلات حتى اكتمال التحقيق، ولم يعلن بعد طريقة الدخول أو عدد الخوادم المتضررة أو قيمة الخسائر. ويظل ارتباط البلاغات بإصدارات أقدم من 2.4.2 تقديراً نقله دورير، لا نتيجة نهائية أعلنها الفريق. كما لم يحدد المشروع موعداً لنشر نتائج التحقيق الجديد. وأي تحديث بشأن نطاق الحادثة أو معالجتها رهن بما سيعلنه الفريق بعد انتهاء التحقيق.