Un bug rimasto invisibile a decine di controlli di sicurezza ha permesso a degli attaccanti di prosciugare nodi Lightning appartenenti a utenti di BTCPay Server, costringendo il progetto a correre contro il tempo per rilasciare una patch mentre i fondi continuavano a sparire. La vulnerabilità BTCPay Server è stata segnalata come attivamente sfruttata il 7 agosto 2026, e tra le vittime figurano nomi noti dell’ecosistema bitcoin, tra cui il produttore di hardware wallet Foundation e la rivista Citadel21.
Summary
Punti chiave
- Il 7 agosto 2026 BTCPay Server ha avvertito che una falla critica era sotto attacco attivo, con nodi Lightning svuotati prima ancora dell’allerta pubblica.
- Foundation, produttore del wallet hardware Passport, e Citadel21 hanno confermato lo svuotamento dei propri nodi Lightning.
- Il progetto ha rilasciato la versione 2.4.2 e ha chiesto agli operatori di aggiornare immediatamente o spegnere i server.
- La falla sfruttata è diversa dal bug di bypass dell’autenticazione a due fattori già divulgato nel changelog il 4 agosto.
- Gli utenti devono rigenerare le macaroon e i file di credenziali, perché un aggiornamento software da solo non basta a bloccare accessi non autorizzati già ottenuti.
Vulnerabilità critica sfruttata nei nodi Lightning di BTCPay Server
Gli attaccanti hanno svuotato nodi Lightning collegati a BTCPay Server nella giornata di venerdì, colpendo tra gli altri quello gestito da Foundation, dopo che il processore di pagamenti bitcoin self-hosted aveva lanciato l’allarme su una falla critica in fase di sfruttamento attivo. Il messaggio, pubblicato alle 11:51 ora della costa est statunitense, invitava i merchant ad aggiornare alla versione 2.4.2 oppure a spegnere immediatamente i propri server per prevenire accessi non autorizzati. Il post ha superato le 550.000 visualizzazioni in appena cinque ore, segno della portata dell’allarme all’interno della community bitcoin.
Il fondatore Nicolas Dorier ha pubblicato la release 2.4.2 la stessa mattina, accompagnata da un avviso netto: la versione conteneva la correzione di una vulnerabilità critica già sfruttata, da aggiornare quanto prima possibile. Le note di rilascio chiedevano inoltre agli integratori di aggiornare NBXplorer, il backend di tracciamento wallet di BTCPay, alla versione 2.6.10.
Chi è stato colpito
Zach Herbert, chief executive di Foundation, ha raccontato che il proprio nodo era già stato drenato quando ha letto l’allerta: il server BTCPay usato per l’elaborazione dei pagamenti aveva subito la chiusura forzata di tutti i canali e lo svuotamento dei fondi, mentre il hot wallet era rimasto intatto. hodlonaut, il commentatore pseudonimo dietro la rivista Citadel21, ha descritto lo stesso schema, precisando però che i fondi coinvolti non erano rilevanti. Nessuno dei due ha rivelato importi precisi, e finora non è stato pubblicato un conteggio complessivo di quanti nodi siano stati colpiti o di quanto bitcoin sia stato spostato. Il software è utilizzato anche da Namecheap, che tra maggio 2020 e ottobre 2024 ha elaborato tramite BTCPay 73 milioni di dollari in ricavi BTC su 1,1 milioni di transazioni, oltre a centinaia di merchant più piccoli e diversi backend di wallet.
Come è stata scoperta la falla
La scoperta non è arrivata da una scansione automatica, ma da un utente che ha perso fondi in prima persona. Dorier ha attribuito il merito a Craig Raw, sviluppatore di Sparrow Wallet, che ha analizzato i log dopo essere stato colpito per capire cosa stesse accadendo. Lo stesso Dorier ha ammesso che il progetto è stato fortunato: senza quell’incidente, la falla sarebbe potuta restare inosservata ancora per tempo, perché non era stata individuata da alcuna scansione basata su intelligenza artificiale.
Questo dettaglio pesa in particolare sul lavoro del Bitcoin Red Team, il gruppo di volontari che nell’ultima settimana ha condotto audit assistiti da AI sull’intero stack open-source di bitcoin e che BTCPay aveva ringraziato per la disclosure. Dorier ha chiarito che il rapporto AI ricevuto dal gruppo non includeva questa falla, definendola particolarmente insidiosa: non stupisce che una scansione semplice non l’abbia individuata, o l’abbia classificata come rischio basso.
Non è il bug del changelog
BTCPay non ha ancora reso pubblico quale sia esattamente il bug sfruttato, ma Dorier ha escluso che si tratti dell’unica falla di autenticazione già documentata nel changelog. Dopo che un utente aveva pubblicato una spiegazione generata con Grok che attribuiva l’attacco a quel bug, Dorier ha risposto specificando che quella falla era stata individuata dal Red Team e non corrisponde alla vulnerabilità critica in questione.
Il bug divulgato riguarda un bypass dell’autenticazione a due fattori in Greenfield, l’API di BTCPay, corretto il 4 agosto: il sistema controllava soltanto la presenza di chiavi hardware FIDO2 prima di richiedere il secondo fattore, così account protetti da un’app di autenticazione potevano essere raggiunti con sola email e password, ottenendo un permesso illimitato. La schermata di login del browser aveva invece sempre applicato correttamente il secondo fattore. Con la stessa release, Dorier ha disattivato l’autenticazione di base di Greenfield cinque minuti dopo la creazione di un account, ha introdotto un rate limit sulla creazione pubblica di invoice legate alle richieste di pagamento e ha reso non instradabili nove metodi controller distribuiti su cinque file, eliminando endpoint raggiungibili via HTTP per errore. Un resoconto tecnico più approfondito, ha spiegato il collaboratore principale Uncle Rockstar, è in preparazione insieme al Bitcoin Red Team.
La corsa alle patch e i rischi ancora aperti
Il fatto che BTCPay sia un software self-hosted significa che non esiste un operatore centrale in grado di applicare la correzione per conto degli utenti: ogni merchant, exchange o wallet che utilizza il software deve installare la patch sulla propria macchina, e i furti erano già in corso quando l’allarme è stato diffuso. Questo scenario mette a nudo uno dei limiti strutturali dei sistemi decentralizzati per i pagamenti bitcoin, dove la sicurezza dell’intero ecosistema dipende dalla rapidità di reazione di ciascun singolo operatore.
Perché bisogna rigenerare le credenziali
Applicare la patch non chiude automaticamente l’incidente. BTCPay ha chiesto agli utenti di rigenerare completamente le macaroon e il file macaroons.db, le credenziali che autorizzano l’accesso a un nodo Lightning LND, e di rinnovare le stringhe di autenticazione per altri backend Lightning. Chi avesse generato un hot wallet on-chain all’interno di BTCPay dovrebbe spostare quei fondi e ricreare il wallet da zero. Kaloudis, del wallet ZEUS basato su LND, ha sintetizzato il punto in modo diretto: aggiornare il software non significa essere automaticamente al sicuro. Le credenziali rubate infatti sopravvivono a un aggiornamento: chi le ha copiate prima della patch mantiene l’accesso al nodo finché non vengono distrutte e riemesse, uno scenario coerente con quanto riportato dalle vittime, che parlano di canali chiusi forzatamente e saldi svuotati piuttosto che di un nuovo attacco al server.
Un contesto già segnato da falle di sicurezza
L’allarme su BTCPay arriva nove giorni dopo l’inizio di quello che appare come il periodo peggiore per la sicurezza dell’infrastruttura bitcoin degli ultimi anni. Un bug del firmware Coldcard risalente al 2021, che dirottava la generazione dei seed verso un randomizzatore software debole, ha drenato circa 114 milioni di dollari in BTC dal 30 luglio, colpendo oltre 5.200 indirizzi e lasciando alcune vittime senza i propri risparmi. Il 3 agosto, il ponte di swap Boltz ha sospeso il servizio a tempo indeterminato, spiegando che gli attaccanti riescono a iterare più velocemente di quanto un team delle loro dimensioni possa individuare e correggere le falle.
I limiti degli audit del Bitcoin Red Team
È stato proprio l’incidente Coldcard a spingere alla formazione del Bitcoin Red Team. Calle, che aiuta a coordinare il gruppo, ha riferito il 5 agosto che 16 ricercatori avevano già presentato 4.962 segnalazioni su 390 progetti in 27,5 ore, tra cui 85 problemi critici e 635 ad alta severità. Nonostante questa mole di lavoro, la falla sfruttata su BTCPay è passata inosservata, confermando quanto sia difficile individuare vulnerabilità sofisticate anche con strumenti assistiti da intelligenza artificiale su larga scala.
Sul fronte del mercato, Bitcoin ha mostrato scarsa reazione alla notizia: il prezzo si attestava vicino ai 64.800 dollari nel pomeriggio di venerdì, in rialzo dello 0,7% nelle 24 ore e del 2,6% su base settimanale, secondo i dati citati nella fonte. Un segnale che, almeno nell’immediato, gli investitori distinguono tra i rischi legati all’infrastruttura di pagamento e quelli percepiti sul valore dell’asset sottostante.
FAQ
Qual è stato il problema principale di BTCPay Server il 7 agosto 2026?
Una vulnerabilità critica è stata sfruttata attivamente, permettendo agli attaccanti di svuotare i nodi Lightning degli utenti e costringendo BTCPay a rilasciare una patch urgente.
Chi sono alcune delle vittime specifiche colpite dalla vulnerabilità di BTCPay Server?
Tra le vittime note figurano il produttore di hardware wallet Foundation e la rivista bitcoin Citadel21, i cui nodi Lightning sono stati svuotati.
La falla sfruttata è la stessa del bypass dell’autenticazione a due fattori già divulgato?
No, BTCPay ha chiarito che il bug sfruttato è diverso e non collegato al bypass dell’autenticazione a due fattori riportato nel proprio changelog.
Cosa devono fare gli utenti di BTCPay Server dopo aver applicato la patch?
Devono rigenerare le macaroon e i file di credenziali, perché le credenziali rubate possono sopravvivere a un aggiornamento software e permettere accessi non autorizzati continuativi.
Contenuto realizzato con l’assistenza dell’intelligenza artificiale e con revisione editoriale umana.
