BTCPay Server: кражи из горячих кошельков на 2.4.1 и старше — одного обновления недостаточно, вендор советует переезд на чистый сервер

1 ноября 2026 вендор получил сообщения о краже биткоина и лайткоина из горячих кошельков BTCPay Server; по его расследованию атаки были направлены на серверы с версией 2.4.1 (выпуск 23 июля 2026) или старше, а злоумышленники использовали другой способ эксплуатации уязвимости, закрытой в 2.4.2 (7 августа 2026); после неё вышли и другие security-обновления, включая 2.4.4 и 2.4.5. Вендор подчёркивает, что обновление само по себе не убирает доступ, который атакующий мог уже получить, а неизменный баланс кошелька не исключает более ранней атаки; когда эксплуатация началась, не установлено. Средства в кошельках, чьи ключи на подпись хранятся вне сервера (в том числе на хардварных кошельках), этими кражами не затронуты — приём платежей в такие кошельки вендор по-прежнему рекомендует как практику.