BTCPay Server, een self-hosted en open-source oplossing voor het verwerken van cryptocurrency-betalingen, roept gebruikers op om een BTCPay Server update uit te voeren. Reden: meldingen dat aanvallers Bitcoin en Litecoin hebben weggenomen uit hot wallets op systemen met oudere versies.
De waarschuwing draait om kwetsbare releases tot en met 2.4.1, en om het belang van snelle migratie, zeker wanneer er mogelijk al onrechtmatige toegang is geweest.
Welke versies werden getroffen?
BTCPay Server stelt dat de aanvallen gericht waren op servers waarop BTCPay Server 2.4.1 of oudere software draaide. De ontwikkelaars geven aan dat de aanvallers een andere methode gebruikten om een kwetsbaarheid te misbruiken die later is opgelost.
Die oplossing werd in versie 2.4.2 doorgevoerd. Die release verscheen volgens BTCPay Server op 7 augustus 2026. Eerder, op 23 juli 2026, werd 2.4.1 gepubliceerd.
Waarom een update cruciaal is
Zelfs als er op dit moment geen diefstal is opgemerkt, adviseert BTCPay Server om gebruikers die op 2.4.1 of ouder draaien over te zetten naar een nieuwe server met een nieuwe wallet. Dat advies komt omdat niet altijd direct zichtbaar is of een systeem al is aangetast.
Belangrijk onderdeel van de boodschap: wie verdachte activiteiten ziet, moet niet alleen naar de betalingstoepassing kijken, maar het gehele systeem en alle opgeslagen geheimen als mogelijk gecompromitteerd beschouwen. Daarna volgen de herstelstappen die BTCPay Server aanraadt voor dit type incident.
Geen ‘credeerbare’ meldingen bij de nieuwste versie
Op basis van interne informatie geeft BTCPay Server aan dat er geen “credible reports” zouden zijn van het leegtrekken van hot wallets bij gebruikers die de recente release draaien: BTCPay Server 2.4.7.
Deze versie zou één kritieke en meerdere kwetsbaarheden met een medium ernstniveau bevatten. De ontdekkingen zouden zijn gedaan via een OSS-scanner van Anthropic. Daarmee lijkt 2.4.7 niet alleen een stap vooruit in compatibiliteit, maar vooral in het dichtzetten van meerdere beveiligingsgaten.
Wat te doen als u nog 2.4.1 of ouder draait
BTCPay Server’s kernadvies is helder: draai geen oudere versies meer, maar voer de BTCPay Server update uit. Bij voorkeur migreert u naar een fresh server met een nieuwe wallet.
Daarnaast bevat de waarschuwing een duidelijke aanpak voor herstel na mogelijke compromittatie:
- Beschouw het systeem als aangetast bij diefstal of vermoeden van ongeautoriseerde toegang.
- Behandel alle secrets die op de machine staan als gecompromitteerd.
- Volg daarna de herstelprocedure zoals BTCPay Server die beschrijft.
Focus op beperkt hot wallet gebruik
Voor organisaties die dagelijks betalingen moeten ontvangen, adviseert BTCPay Server om hot wallets bewust klein te houden. Het idee: zet alleen het bedrag op de server dat nodig is voor het dagelijkse operationele verkeer, en verplaats de rest naar een wallet waarvan de bestedingssleutels niet op de server worden bewaard.
Deze werkwijze verlaagt de impact als er onverhoopt toch iets misgaat: bij een aanval is er dan minder waarde direct beschikbaar in de omgeving die online staat.
Aanvalsscenario en achtergrond: LND-macaroonbestanden
Naast de huidige meldingen verwijst BTCPay Server ook naar eerder meegedeelde problemen uit augustus 2026. Toen gaf BTCPay Server aan dat een kritieke kwetsbaarheid was misbruikt om geld te stelen bij sommige gebruikers.
Volgens de eerdere waarschuwing kan een aanvaller, zonder authenticatie, toegang krijgen tot .macaroon-credentialbestanden voor LND (Lightning Network Daemon). Die credentials zouden vervolgens kunnen worden gebruikt om controle te krijgen over een LND-node en geld te verplaatsen.
BTCPay Server geeft daarbij aan dat de onderzochte aanvallen zich richtten op bestanden met de .macaroon-extensie.
Het blijft echter onduidelijk of de nieuw gemelde campagne verband houdt met precies dezelfde kwetsbaarheid als die in augustus werd gepatcht.
Wallet-adressen gelinkt aan incidenten
BTCPay Server deelde ook twee wallet-adressen die volgens hen gekoppeld zijn aan deze incidenten:
- Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7
- Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee
Voor defenders is dit vooral relevant voor interne checks en het beoordelen van uitgaande transacties, zodat u sneller kunt bepalen of er ongewenste bewegingen hebben plaatsgevonden.
Als u via een hostingprovider draait
Het advies strekt zich ook uit tot omgevingen bij hostingpartijen. BTCPay Server waarschuwt dat een hostingprovider uw instantie mogelijk automatisch heeft stopgezet om te voorkomen dat oudere versies nog verder kunnen worden misbruikt.
Controleer in dat geval uw statuspagina’s, logs en de draaiversie van BTCPay Server, en plan meteen een veilige migratie naar de patched versie.
Crypto: meer incidenten, dezelfde les
Deze BTCPay Server-meldingen staan niet op zichzelf. In de broncontext wordt ook verwezen naar bredere cyberincidenten in de cryptosector, waaronder een grote diefstal bij een grote beurs en incidenten bij andere platformen die tijdelijk moesten worden stilgelegd na exploits.
De gemeenschappelijke lijn: aanvallen richten zich steeds vaker op kwetsbaarheden in software, de keten daaromheen en op online componenten waar waarde direct beschikbaar is. Dat maakt Software Supply Chain Security en patchdiscipline extra belangrijk.
Wie wil spiegelen aan recente trends in dreigingen, kan daarnaast deze gerelateerde achtergrond lezen: focus op recente cyberdreigingen: van DDoS tot supply chain.
Praktische checklist voor uw BTCPay Server
Samengevat komt de aanpak voor u neer op drie stappen: upgrade, beperk exposure, en handel snel bij tekenen van compromis.
- Upgrade naar een ondersteunde release (BTCPay Server geeft expliciet 2.4.7 aan als recent).
- Gebruik nieuw en schoon: migreer naar een fresh server en nieuwe wallet als u op 2.4.1 of ouder zat.
- Werk incidentgericht: behandel een incident of vermoeden als compromitterend voor het hele systeem en alle secrets.
Wilt u ook zien hoe aanvallers via verschillende crypto-omgevingen steeds vaker misbruik maken van kwetsbaarheden? Lees dan aanvullend: CryptoPayment Gateway WordPress: CVE-2026-81648.
Conclusie
De boodschap van BTCPay Server is eenvoudig: als u nog draait op 2.4.1 of ouder, voer dan een BTCPay Server update uit en kies voor een veilige migratie naar een nieuw systeem met een nieuwe wallet. Doe dat ook als u nog niets heeft gemerkt, omdat aanvallen niet altijd direct zichtbaar zijn.
Heeft u wél signalen van diefstal of verdachte toegang? Behandel het systeem en alle geheimen als gecompromitteerd, en volg de herstelprocedure. Zo verkleint u de kans dat Bitcoin of Litecoin vanuit hot wallets verder wordt misbruikt.
Bron: https://thehackernews.com/2026/11/hackers-exploit-btcpay-server-flaw-to.html
