Dự án mã nguồn mở BTCPay Server, công cụ giúp doanh nghiệp nhận thanh toán bằng bitcoin, ngày 1/11/2026 (Chủ nhật) kêu gọi người dùng tắt máy chủ của mình. Lý do là dự án nhận được báo cáo về việc kẻ tấn công rút bitcoin từ các “ví nóng” trên một số máy chủ. BTCPay chưa công bố số tiền mất, số máy chủ bị ảnh hưởng hay bản vá.
Khoảng hai giờ sau, nhà sáng lập Nicolas Dorier cho biết các vụ trộm “có vẻ liên quan” đến những bản phát hành cũ hơn 2.4.2. Ông không khẳng định các bản mới hơn là an toàn.
BTCPay yêu cầu chủ máy chủ chạy lệnh ./btcpay-down.sh
Trên X, BTCPay cho biết đang nhận báo cáo về việc ví nóng trên các máy chủ BTCPay bị kẻ tấn công trái phép “quét sạch”. “Quét” nghĩa là toàn bộ số coin bị chuyển đi trong một lần. Dự án đề nghị chủ máy chủ tắt hệ thống bằng lệnh ./btcpay-down.sh và giữ nguyên trạng thái đó cho đến khi điều tra xong.
Lời kêu gọi này không giới hạn ở một phiên bản cụ thể. Dự án cũng không thể tự tắt giúp người dùng, vì mỗi doanh nghiệp tự cài và vận hành máy chủ riêng, không có “công tắc tổng” nào.
Ví nóng lưu seed phrase ngay trên máy chủ nối mạng
BTCPay cho phép thương gia nhận tiền thẳng vào ví của mình, không qua bên trung gian giữ hộ. Với ví nóng, cụm từ khôi phục (seed phrase, chuỗi bí mật dùng để chi coin) được lưu ngay trên máy chủ đang kết nối internet. Tài liệu của BTCPay cho biết hệ thống sẽ tự dùng seed đó để ký và duyệt giao dịch. Điều này cũng đồng nghĩa là máy chủ có thể tự gửi coin đi mà chủ không cần xác nhận trên thiết bị riêng. Ai chiếm được quyền kiểm soát máy chủ đều có thể chuyển coin sang địa chỉ của mình. Đây là điểm yếu cố hữu của mô hình này, chưa phải kết luận về nguyên nhân của đợt tấn công lần này.
Hồi tháng 8, BTCPay từng xác nhận kẻ tấn công lấy được tiền qua một lỗ hổng ở các bản trước 2.4.2. Lỗ hổng đó cho phép người ngoài lấy tệp thông tin xác thực của LND, phần mềm chạy node trên mạng Lightning (mạng thanh toán nhanh xây trên bitcoin). Lỗi được sửa ở bản 2.4.2. Nguồn tin không nói hai sự việc có cùng nguyên nhân hay không, nên mối liên hệ này chưa được xác nhận.
Về lâu dài, nguyên tắc là không để khóa chi tiền nằm cùng chỗ với máy chủ vận hành. Nếu máy chủ chỉ nhận tiền và việc ký giao dịch diễn ra trên thiết bị riêng, như ví lạnh Ledger hoặc một thiết bị ký tương tự, kẻ chiếm được máy chủ khó chuyển tiền đi hơn. Việc tích hợp cụ thể với BTCPay cần đối chiếu theo tài liệu của dự án. Với tài khoản quản trị, khóa bảo mật phần cứng như Yubico có thể bổ sung lớp xác thực, nhưng chỉ khi hệ thống bạn dùng hỗ trợ.
