Người dùng BTCPay Server được khuyến cáo vá lỗi sau các vụ trộm từ ví nóng

BTCPay Server, trình xử lý thanh toán tiền điện tử tự lưu trữ (self-hosted), đã đưa ra cảnh báo khẩn cấp tới người dùng sau khi xác nhận các vụ trộm quỹ. Các sự cố này liên quan đến việc tin tặc rút cạn Bitcoin và Litecoin từ ví nóng trên các máy chủ chạy phiên bản phần mềm cũ. Báo cáo về các cuộc tấn công bắt đầu xuất hiện vào khoảng ngày 1 tháng 11 năm 2026, thúc đẩy nhóm duy trì dự án khuyên người dùng khắc phục ngay lập tức cho tất cả các phiên bản bị ảnh hưởng.

Chuyện gì đã xảy ra

Đội ngũ bảo mật của BTCPay Server xác định rằng các cuộc tấn công nhắm cụ thể vào các phiên bản chạy version 2.4.1 hoặc cũ hơn. Phiên bản này được phát hành vào ngày 23 tháng 7 năm 2026. Lỗ hổng liên quan đã được vá trong version 2.4.2, có sẵn từ ngày 7 tháng 8 năm 2026. Theo điều tra, tin tặc sử dụng một phương pháp khác biệt so với các cuộc khai thác trước đó để xâm nhập vào các cài đặt cũ này. Mặc dù ngày bắt đầu chính xác của chiến dịch vẫn chưa rõ ràng, nhưng sự gia tăng gần đây trong các báo cáo cho thấy hoạt động khai thác đang diễn ra thực tế.

Người dùng hiện đang vận hành trên các phiên bản 2.4.1 hoặc cũ hơn được khuyên nên áp dụng các biện pháp quyết liệt. Khuyến nghị không chỉ đơn thuần là cập nhật phần mềm, mà phải di chuyển sang một máy chủ hoàn toàn mới với ví mới. Lời khuyên này áp dụng ngay cả khi người dùng chưa phát hiện bất kỳ khoản tiền nào bị mất. Logic đằng sau hướng dẫn nghiêm ngặt này là một khi tin tặc giành được quyền truy cập, chúng có thể đã thiết lập các cửa hậu (backdoor) dai dẳng hoặc trích xuất các khóa bí mật vẫn còn hiệu lực ngay cả sau khi phần mềm được vá. Do đó, bất kỳ máy nào nghi ngờ bị truy cập trái phép đều phải được coi là bị xâm phạm hoàn toàn, đòi hỏi phải đặt lại toàn bộ các khóa bí mật và thông tin đăng nhập.

Dự án xác nhận rằng không có báo cáo đáng tin cậy nào về các vụ trộm từ người dùng chạy bản phát hành mới nhất, version 2.4.7. Bản cập nhật mới nhất này giải quyết một lỗ hổng nghiêm trọng và nhiều lỗ hổng mức độ trung bình được phát hiện thông qua trình quét OSS của Anthropic. Để hỗ trợ theo dõi tài sản bị đánh cắp, BTCPay Server đã công bố hai địa chỉ ví cụ thể liên quan đến các sự cố: một địa chỉ Bitcoin bắt đầu bằng bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 và một địa chỉ Litecoin bắt đầu bằng ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Chi tiết chính

• Các phiên bản bị ảnh hưởng: BTCPay Server 2.4.1 (phát hành ngày 23 tháng 7 năm 2026) và tất cả các phiên bản trước đó.
• Phiên bản đã vá: Version 2.4.2, phát hành ngày 7 tháng 8 năm 2026, đã sửa lỗ hổng bị khai thác.
• Phiên bản an toàn hiện tại: Version 2.4.7 không ghi nhận báo cáo đáng tin cậy nào về việc rút cạn ví nóng.
• Hành động được khuyến nghị: Người dùng trên các phiên bản dễ bị tổn thương nên chuyển sang máy chủ mới với ví mới, bất kể có thấy dấu hiệu trộm cắp hay không.
• Phạm vi xâm phạm: Bất kỳ nghi ngờ nào về vi phạm đều yêu cầu coi toàn bộ máy và tất cả các khóa bí mật được lưu trữ là đã bị xâm phạm.
• Tài sản bị đánh cắp: Các vụ trộm được xác nhận liên quan đến Bitcoin và Litecoin từ ví nóng.

Bối cảnh

BTCPay Server là một giải pháp mã nguồn mở phổ biến dành cho các thương nhân muốn chấp nhận thanh toán tiền điện tử mà không cần dựa vào các nhà xử lý bên thứ ba. Nó thường được tự lưu trữ, nghĩa là người dùng quản lý cơ sở hạ tầng máy chủ, các bản cập nhật bảo mật và khóa ví. "Ví nóng" trong ngữ cảnh này đề cập đến ví tiền điện tử được kết nối internet và lưu trữ trên chính máy chủ. Thiết lập này cho phép xử lý thanh toán tự động nhưng mang rủi ro cao hơn so với "lưu trữ lạnh", nơi các khóa được giữ ngoại tuyến.

Lỗ hổng bị khai thác trong các cuộc tấn công gần đây cho phép truy cập trái phép vào các tệp thông tin đăng nhập, cụ thể là các tệp .macaroon được sử dụng bởi LND (Lightning Network Daemon). LND là một triển khai của Lightning Network, một giao thức lớp-2 được thiết kế để làm cho các giao dịch Bitcoin nhanh hơn và rẻ hơn. Trong một thông báo trước đó vào tháng 8 năm 2026, nhóm đã lưu ý rằng tin tặc có thể sử dụng các thông tin đăng nhập này để chiếm quyền kiểm soát một nút LND và di chuyển tiền. Mặc dù chưa rõ liệu chiến dịch hiện tại có sử dụng chính xác cùng một vector tấn công hay không, nhưng việc tập trung vào các phiên bản cũ, chưa được vá cho thấy sự phụ thuộc tương tự vào các lỗ hổng bảo mật đã biết nhưng chưa được xử lý.

Tại sao điều này quan trọng

Đối với các nhóm và cá nhân tự lưu trữ phần mềm tài chính, sự cố này nhấn mạnh tầm quan trọng then chốt của việc quản lý bản vá kịp thời. Khác với các dịch vụ tập trung, nơi nhà cung cấp xử lý các bản cập nhật bảo mật một cách minh bạch, môi trường tự lưu trữ đặt toàn bộ gánh nặng bảo trì lên vai người vận hành. Việc chậm trễ trong cập nhật, thậm chí chỉ vài tháng, có thể khiến hệ thống bị phơi bày trước các chiến dịch khai thác đang hoạt động. Thực tế rằng tin tặc nhắm mục tiêu vào các phiên bản từ tháng 7 năm 2026 cho thấy chúng đang quét tìm các lỗ hổng đã biết mà nhiều người vận hành có thể đã bỏ quên.

Hơn nữa, khuyến nghị xây dựng lại toàn bộ máy chủ nêu bật mức độ nghiêm trọng của các nguy cơ xâm phạm tiềm tàng. Trong bảo mật CNTT truyền thống, việc vá lỗ hổng thường được coi là đủ. Tuy nhiên, trong bối cảnh tiền điện tử, việc đánh cắp khóa riêng tư hoặc token xác thực có nghĩa là tin tặc vẫn giữ quyền truy cập ngay cả sau khi lỗ hổng được bịt kín. Điều này đòi hỏi một quy trình phản ứng sự cố nghiêm ngặt hơn, bao gồm xoay vòng khóa và thay thế cơ sở hạ tầng, vốn có thể tốn kém và phức tạp về mặt vận hành đối với các nhóm nhỏ.

Sự kiện này cũng diễn ra trong bối cảnh bất ổn rộng lớn hơn trong lĩnh vực tiền điện tử. Những tháng gần đây đã chứng kiến các vụ vi phạm đáng kể, bao gồm vụ trộm 6,43 tỷ USD từ Binance được quy cho các tác nhân Triều Tiên, một cuộc khai thác trị giá 2,65 triệu USD tại Polymarket, và các cuộc tấn công chuỗi cung ứng liên quan đến ví cứng như Trezor. Đối với các quản trị viên hệ thống (sysadmin) quản lý các công cụ tiền điện tử tự lưu trữ, bối cảnh mối đe dọa ngày càng tinh vi, đòi hỏi sự cảnh giác không chỉ trong việc cập nhật phần mềm mà còn trong vệ sinh bảo mật tổng thể.

Bạn có thể làm gì

• Kiểm tra phiên bản của bạn: Ngay lập tức xác minh xem phiên bản BTCPay Server của bạn có đang chạy version 2.4.1 hoặc cũ hơn hay không.
• Nâng cấp hoặc di chuyển: Nếu dễ bị tổn thương, hãy nâng cấp lên version 2.4.7 trở lên. Nếu bạn nghi ngờ bất kỳ sự xâm phạm nào trước đó, hãy di chuyển sang máy chủ mới với khóa ví mới.
• Giảm thiểu số dư ví nóng: Chỉ giữ số tiền tối thiểu cần thiết trong ví nóng trực tuyến cho các hoạt động hàng ngày. Lưu trữ phần lớn tài sản trong lưu trữ lạnh với các khóa được giữ ngoài máy chủ.
• Giám sát các bất thường: Xem xét nhật ký máy chủ và lịch sử giao dịch ví để tìm kiếm bất kỳ hoạt động trái phép nào, ngay cả khi ban đầu không có vẻ như thiếu tiền.
• Cô lập các khóa bí mật: Đảm bảo rằng các tệp thông tin đăng nhập nhạy cảm, chẳng hạn như các tệp .macaroon, được phân quyền đúng cách và không thể truy cập bởi người dùng chưa xác thực.
• Cập nhật thông tin: Theo dõi các kênh chính thức của BTCPay Server để biết các cảnh báo bảo mật trong tương lai và cân nhắc tự động hóa việc kiểm tra cập nhật nếu có thể.