Hackers exploram falha no BTCPay Server e roubam Bitcoin e Litecoin de Hot Wallets

O BTCPay Server, processador de pagamentos com criptomoedas de código aberto e hospedagem própria, emitiu um alerta de segurança após relatos de roubos de Bitcoin e Litecoin de carteiras digitais conectadas a servidores que utilizavam versões desatualizadas da plataforma.

Segundo a investigação da equipe responsável pelo projeto, os ataques atingiram instalações do BTCPay Server 2.4.1, lançado em 23 de julho de 2026, ou versões anteriores. Os invasores utilizaram um método diferente para explorar uma vulnerabilidade corrigida na versão 2.4.2, disponibilizada em 7 de agosto.

A exploração permitiu o roubo de fundos armazenados em hot wallets, carteiras de criptomoedas conectadas à internet e utilizadas principalmente para transações frequentes.

Ainda não está claro quando os ataques começaram. Entretanto, os primeiros relatos públicos surgiram por volta de 1º de novembro de 2026.

BTCPay recomenda migração para novos servidores

A equipe do BTCPay Server recomenda que usuários de versões 2.4.1 ou anteriores migrem para servidores novos e criem novas carteiras, mesmo quando não houver indícios de roubo.

Nos casos de movimentações não autorizadas ou suspeita de invasão, a orientação é considerar comprometidos todo o servidor e os dados confidenciais armazenados nele, incluindo credenciais e chaves de acesso.

Em publicação na rede social X, o projeto informou que não recebeu relatos considerados confiáveis de esvaziamento de carteiras em instalações que utilizam a versão 2.4.7.

Essa atualização também corrige uma vulnerabilidade crítica e diversas falhas de gravidade moderada identificadas por meio do scanner de segurança para projetos de código aberto da Anthropic.

O BTCPay Server divulgou dois endereços de carteiras associados aos incidentes:

Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7

Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee

A plataforma também recomenda manter nas carteiras conectadas aos servidores apenas os valores necessários para operações diárias, transferindo os demais recursos para carteiras cujas chaves privadas sejam armazenadas fora do servidor.

Usuários que executam o BTCPay Server por meio de provedores de hospedagem podem encontrar suas instâncias temporariamente desligadas, como medida preventiva contra a exploração de versões vulneráveis.

Vulnerabilidade anterior permitia controlar nós da Lightning Network

Em agosto de 2026, o BTCPay Server já havia divulgado uma vulnerabilidade crítica explorada por invasores para roubar criptomoedas de determinados usuários.

O problema, corrigido na versão 2.4.2, permitia que um atacante remoto não autenticado obtivesse arquivos de credenciais .macaroon utilizados pelo LND, uma implementação da Lightning Network, rede desenvolvida para facilitar transações de Bitcoin.

Esses arquivos contêm credenciais que podem conceder acesso administrativo a um nó LND. Caso sejam obtidos por invasores, podem permitir o controle do nó e a movimentação não autorizada de fundos.

Na ocasião, a investigação identificou ataques direcionados especificamente a arquivos com a extensão .macaroon.

Embora os incidentes recentes envolvam a exploração de uma vulnerabilidade corrigida na mesma versão, ainda não está completamente esclarecida a relação entre as campanhas.

Ataques contra plataformas de criptomoedas se intensificam

O alerta do BTCPay Server ocorre em meio a uma sequência de incidentes envolvendo plataformas e serviços do mercado de criptomoedas.

Entre os casos recentes está o roubo de US$ 6,43 bilhões da Binance, atribuído a hackers norte-coreanos.

No mesmo dia, a plataforma de mercados de previsão Polymarket suspendeu temporariamente suas negociações após um ataque que resultou no desvio de aproximadamente US$ 2,65 milhões. A exploração ocorreu após o comprometimento de um software desenvolvido pela DebugBear.

A fabricante de carteiras físicas Trezor também divulgou um alerta após receber um relatório sobre a possível instalação de um componente malicioso em um dispositivo Trezor Safe 5 adquirido da revendedora CryptoBilis, em agosto de 2026.

A suspeita envolve um ataque à cadeia de suprimentos, no qual dispositivos comercializados por revendedores terceirizados teriam sido fisicamente adulterados para capturar as frases de recuperação das carteiras e permitir o roubo de criptomoedas.

A investigação ainda não confirmou a extensão do possível comprometimento desses equipamentos.

Mercado Bitcoin confirma incidente de US$ 49 milhões

No Brasil, o Mercado Bitcoin anunciou na segunda-feira (2) a suspensão temporária de depósitos e saques após um incidente de segurança envolvendo aproximadamente US$ 49 milhões em ativos digitais.

Segundo a empresa, cerca de US$ 38 milhões permaneciam envolvidos no incidente, enquanto outros US$ 11 milhões já haviam sido bloqueados em uma operação conjunta com empresas do setor.

A contenção contou com a participação de Tether, Circle, Paxos, BRL1 e Chainalysis, que colaboraram na identificação e no bloqueio de ativos associados ao ataque.

O CEO da Tether, Paolo Ardoino, confirmou que a emissora da stablecoin USDT congelou mais de 4,5 milhões de USDT relacionados ao incidente.

O Mercado Bitcoin informou que outros valores passíveis de bloqueio já foram identificados e que as medidas de contenção continuam.

A retomada dos depósitos e saques ocorrerá somente quando as condições de segurança forem restabelecidas. Até o momento do comunicado, não havia prazo confirmado para a normalização dos serviços.