- Nós Lightning de usuários do BTCPay Server são esvaziados antes do alerta público
- Foundation e Citadel21 confirmam perda de fundos com canais forçadamente fechados
- BTCPay descarta que falha explorada seja a bug de 2FA divulgada no changelog
Operadores do BTCPay Server acordaram na sexta-feira com seus nós Lightning vazios. Uma vulnerabilidade crítica no processador de pagamentos em bitcoin auto-hospedado passou a ser explorada ativamente. Os saques começaram horas antes do próprio projeto emitir alerta público pedindo atualização imediata para a versão 2.4.2 ou desligamento total dos servidores.
O problema é estrutural. Por ser auto-hospedado, o software não tem operador central capaz de aplicar correções em massa. Portanto, cada comerciante, exchange ou carteira que roda a stack precisa aplicar o patch no próprio ambiente. Muitos souberam do risco depois de já terem sido drenados. O BTCPay processa checkout de bitcoin para nomes como a Namecheap. Este serviço rodou US$ 73 milhões em receita em BTC e 1,1 milhão de transações pela plataforma entre maio de 2020 e outubro de 2024.
O aviso oficial saiu às 11h51 (horário de Nova York): “Há uma vulnerabilidade crítica sendo ativamente explorada no BTCPay Server, que pode resultar em perda de fundos”. O post ultrapassou 550 mil visualizações em cinco horas. O fundador Nicolas Dorier publicou o release 2.4.2 na mesma manhã. Ele também instruiu atualizar o NBXplorer, o backend de rastreamento de carteiras, para a versão 2.6.10.
Foundation e Citadel21 relatam nós esvaziados
Zach Herbert, CEO da Foundation, fabricante da hardware wallet Passport, admitiu publicamente que seu nó já estava zerado quando ele leu o alerta.
Ele questionou quantos nós Lightning do BTCPay os invasores haviam esvaziado e afirmou que o ataque drenou o nó da Foundation durante a noite. Além disso, uma hora depois, detalhou o impacto: os invasores atingiram apenas o servidor de processamento de pagamentos, não acessaram a hot wallet, fecharam à força todos os canais Lightning e transferiram os saldos.
O comentarista pseudônimo hodlonaut, responsável pela revista Citadel21, relatou o mesmo padrão. Ele afirmou que invasores mantinham um ataque em andamento contra usuários do BTCPay Server e haviam acabado de esvaziar o nó Lightning da Citadel21. Segundo hodlonaut, o nó mantinha valores baixos. Até o momento, nenhum dos afetados divulgou as perdas totais, e ninguém apresentou uma contagem pública de quantos operadores perderam fundos.
Assim, a equipe identificou a falha depois que um desenvolvedor perdeu fundos no ataque. Dorier afirmou que Craig Raw, criador da Sparrow Wallet, reconstruiu o vetor de ataque ao analisar os próprios logs. Segundo Dorier, o envolvimento direto de um desenvolvedor permitiu que a equipe entendesse o ataque; ferramentas de varredura com inteligência artificial não detectaram a vulnerabilidade antes que o invasor causasse a perda.
Bug explorado não é o do changelog
Dorier descartou publicamente a hipótese de que os invasores exploraram a única vulnerabilidade mencionada no changelog: um bypass de autenticação em dois fatores na API Greenfield, que a equipe corrigiu em 4 de agosto. Ao responder a um usuário que relacionava os saques ao problema do 2FA, Dorier afirmou que a Red Team identificou essa falha e esclareceu que ela não corresponde ao bug crítico explorado no ataque. A equipe ainda não publicou os detalhes técnicos da vulnerabilidade que os invasores utilizaram.
Assim, o caso expõe um ponto sensível para o mercado brasileiro. Exchanges e serviços que operam Lightning como camada de liquidação — arranjo que vem sendo estudado por players locais para reduzir custos de saque em BTC — dependem exatamente dessa stack aberta. Além disso, um vetor de comprometimento em macaroons, os arquivos de credencial que autorizam acesso a nós LND, sobrevive a atualizações de software. O BTCPay orientou usuários a regenerar completamente esses arquivos e recriar hot wallets on-chain. Por isso, operadores brasileiros precisam replicar esses passos mesmo após instalar o patch.
Terceiro incidente grave em nove dias
Além disso, o ataque fecha uma sequência ruim para a infraestrutura Bitcoin. Um bug de firmware de 2021 na Coldcard já drenou cerca de US$ 114 milhões em BTC desde 30 de julho, atingindo mais de 5.200 endereços. Em 3 de agosto, a bridge de swap Boltz suspendeu operações por tempo indeterminado. O time admitiu que “atacantes iteram mais rápido do que uma equipe do nosso tamanho consegue corrigir”. Para completar, a Zeus Wallet tirou infraestrutura do ar após ataque contra sua camada Lightning na semana anterior.
Assim, a Bitcoin Red Team, que rodou 4.962 achados em 390 projetos usando IA, foi criada justamente em resposta ao caso Coldcard. Entretanto, Dorier reconheceu que a varredura automatizada não pegou o bug do BTCPay. Investidores brasileiros que rodam nós ou usam serviços com backend em BTCPay devem tratar o incidente como aviso operacional. Patch, rotação de credenciais e migração de fundos em hot wallets são passos obrigatórios, não opcionais.
