O BTCPay Server, um processador de pagamentos com criptomoedas de código aberto e hospedado pelo próprio usuário, pediu que os usuários instalem a versão mais recente do software após relatos de roubos de bitcoin e litecoin em carteiras quentes (conectadas à internet) de instâncias que executam versões antigas.
«Nossa investigação descobriu que esses ataques tiveram como alvo servidores que executavam o BTCPay Server 2.4.1 (lançado em 23 de julho de 2026) ou versões anteriores», afirmou o BTCPay Server em comunicado. «Os atacantes usaram um método diferente para explorar a vulnerabilidade corrigida na versão 2.4.2, lançada em 7 de agosto de 2026.»
Usuários que executam as versões 2.4.1 ou anteriores são aconselhados a migrar para um novo servidor, com uma nova carteira, mesmo nos casos em que não tenham percebido nenhum roubo. Em caso de fundos roubados ou suspeita de acesso não autorizado, é imperativo que os usuários considerem toda a máquina e todos os segredos armazenados nela como comprometidos e sigam os mesmos procedimentos de recuperação.
Ainda não se sabe quando os atacantes por trás da campanha começaram a explorar a vulnerabilidade, embora os primeiros relatos tenham surgido por volta de 1º de novembro de 2026.
Em uma publicação na X, o BTCPay Server afirmou que não há «relatos confiáveis» de esvaziamento de carteiras quentes entre usuários que executam a versão mais recente, 2.4.7. A versão corrige uma vulnerabilidade crítica e várias de severidade média descobertas por meio do scanner OSS (software de código aberto) da Anthropic.
O BTCPay Server também divulgou dois endereços de carteira ligados a esses incidentes:
- Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7
- Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee
«Se você precisar de uma carteira quente para as operações diárias, mantenha no servidor apenas os fundos necessários para essas operações e transfira o restante para uma carteira cujas chaves de gasto sejam mantidas fora do servidor», alertou.
«Se você executa o BTCPay Server por meio de um provedor de hospedagem, sua instância pode ter sido desligada automaticamente para impedir que versões antigas sejam exploradas.»
Em agosto de 2026, o BTCPay Server divulgou que uma vulnerabilidade crítica havia sido usada por atacantes para roubar fundos de alguns usuários. O problema, que afeta todas as versões do BTCPay Server, foi corrigido na versão 2.4.2. Não está claro se a mais recente onda de ataques está relacionada à mesma vulnerabilidade.
«A falha poderia permitir que um atacante remoto não autenticado obtivesse arquivos de credenciais .macaroon do LND (Lightning Network Daemon), uma implementação da Lightning Network», disse o projeto em alerta de agosto. «Essas credenciais poderiam ser usadas para assumir o controle de um nó LND e movimentar fundos. Os ataques que analisamos tiveram como alvo apenas arquivos com a extensão .macaroon.»
O caso ocorre em meio a uma sequência de violações de segurança e explorações no setor de criptomoedas, incluindo o roubo recorde de US$ 6,43 bilhões da Binance por criminosos cibernéticos ligados à Coreia do Norte. No mesmo dia, a gigante de mercados de previsão Polymarket suspendeu brevemente as negociações após ser alvo de uma exploração de US$ 2,65 milhões, decorrente do comprometimento de um software desenvolvido pela DebugBear.
A fabricante de carteiras de hardware Trezor também emitiu um alerta sobre uma denúncia de divulgação responsável que alegava a existência de um implante de hardware em uma Trezor Safe 5 comprada da CryptoBilis em agosto de 2026. Avalia-se que o caso faz parte de um sofisticado ataque à cadeia de suprimentos, no qual alguns dispositivos vendidos por revendedores terceirizados são adulterados fisicamente para roubar a frase de recuperação (seed phrase) da vítima e usá-la para esvaziar seus ativos.
Mercado Bitcoin registra incidente de segurança
Na segunda-feira, o Mercado Bitcoin, a maior corretora de criptomoedas do Brasil, anunciou que suspendeu temporariamente depósitos e saques após uma violação de segurança que resultou em US$ 49 milhões em fundos roubados.
«No momento, o valor dos ativos envolvidos é de aproximadamente US$ 38 milhões», disse o Mercado Bitcoin em publicação na X. «Em uma ação rápida com a comunidade cripto e parceiros estratégicos, incluindo Tether, Circle, Paxos, BRL1 e Chainalysis, já bloqueamos US$ 11 milhões.»
«Outros valores elegíveis para bloqueio foram identificados, e os esforços de contenção continuam. A retomada dos serviços ocorrerá assim que todas as condições de segurança forem atendidas, e os prazos serão comunicados exclusivamente pelos nossos canais oficiais.»
O CEO (diretor-executivo) da Tether, Paolo Ardoino, confirmou que a emissora de stablecoins, criptoativos atrelados ao dólar, congelou mais de 4,5 milhões de USDT (stablecoin atrelada ao dólar emitida pela Tether) em conexão com o incidente.
