Cảnh báo: Tin tặc khai thác lỗ hổng trên BTCPay Server để đánh cắp Bitcoin và Litecoin

Nền tảng xử lý thanh toán tiền điện tử mã nguồn mở BTCPay Server vừa đưa ra cảnh báo khẩn cấp, yêu cầu người dùng cập nhật phần mềm lên phiên bản mới nhất. Động thái này được đưa ra sau khi ghi nhận nhiều trường hợp Bitcoin và Litecoin bị đánh cắp từ các ví nóng (hot wallet) trên các máy chủ chạy phiên bản cũ.

Theo điều tra từ đội ngũ phát triển, các cuộc tấn công chủ yếu nhắm vào các máy chủ đang sử dụng BTCPay Server phiên bản 2.4.1 (phát hành ngày 23/7/2026) trở về trước. Kẻ tấn công đã sử dụng một phương thức khai thác khác so với lỗ hổng đã được vá trong phiên bản 2.4.2.

Khuyến nghị bảo mật cho người dùng

BTCPay Server đưa ra các chỉ dẫn nghiêm ngặt cho người dùng đang vận hành các phiên bản bị ảnh hưởng:

Di chuyển sang máy chủ mới: Người dùng nên thiết lập một máy chủ mới với ví tiền điện tử mới, ngay cả khi chưa phát hiện dấu hiệu bị mất tiền.
Giả định hệ thống đã bị xâm nhập: Trong trường hợp nghi ngờ bị tấn công, toàn bộ máy chủ và các thông tin bí mật lưu trữ trên đó phải được coi là đã bị thỏa hiệp (compromised).
Quản lý ví nóng: Chỉ nên để lại số lượng tiền tối thiểu cần thiết cho các hoạt động vận hành hàng ngày trên máy chủ. Các khoản tiền còn lại nên được chuyển sang ví lưu trữ ngoại tuyến (cold wallet) với khóa chi tiêu không nằm trên máy chủ.

Hiện tại, phiên bản 2.4.7 đã được phát hành để khắc phục một lỗ hổng bảo mật nghiêm trọng cùng nhiều vấn đề trung bình khác được phát hiện thông qua công cụ quét mã nguồn mở của Anthropic. Đại diện BTCPay Server khẳng định chưa có báo cáo đáng tin cậy nào về việc ví nóng bị rút sạch trên các máy chủ đã cập nhật lên phiên bản 2.4.7.

Bối cảnh an ninh mạng trong lĩnh vực tiền điện tử

Sự việc này diễn ra trong bối cảnh hàng loạt vụ tấn công và vi phạm bảo mật đang bùng nổ trong không gian tiền điện tử. Trước đó, vào tháng 8/2026, BTCPay Server cũng từng tiết lộ về một lỗ hổng nghiêm trọng cho phép kẻ tấn công không cần xác thực có thể chiếm quyền điều khiển các node LND (Lightning Network) và rút tiền thông qua việc truy cập các tệp tin .macaroon.

Cùng thời điểm, nhiều tổ chức lớn khác cũng ghi nhận các sự cố bảo mật nghiêm trọng, bao gồm vụ tấn công vào sàn giao dịch Mercado Bitcoin tại Brazil khiến khoảng 49 triệu USD bị đánh cắp, hay các vụ tấn công chuỗi cung ứng nhắm vào thiết bị ví cứng Trezor. Người dùng được khuyến cáo luôn duy trì cảnh giác, thường xuyên cập nhật bản vá (patch) và kiểm tra kỹ lưỡng các thiết bị phần cứng trước khi sử dụng.

Nguồn tham khảo: The Hacker News