- BTCPay Server oferece 10% do valor recuperado, limitado a 3 BTC (US$ 190 mil)
- Ataque explorou macaroons de administração de nós LND na Lightning Network
- Usuários devem atualizar para versão 2.4.2 ou desligar servidores imediatamente
A fundação por trás do BTCPay Server, processador de pagamentos em Bitcoin de código aberto, anunciou uma recompensa de até 3 BTC — cerca de US$ 190 mil — a quem ajudar a recuperar os fundos desviados em um exploit crítico descoberto na semana passada. A oferta corresponde a 10% do valor total recuperado e vale inclusive para o próprio atacante, caso decida devolver o dinheiro.
O comunicado foi publicado nesta segunda-feira (11) em uma publicação no X. “Vamos examinar nossos erros, mas o arrependimento sozinho não vai ajudar os usuários afetados nem tornar o projeto mais seguro”, escreveu a equipe. “Não há tempo a perder. Precisamos aprender, melhorar e agir rápido.”
Como o ataque explorou nós Lightning
A vulnerabilidade permitiu que invasores obtivessem os chamados admin macaroons de servidores LND — arquivos de credenciais que dão controle amplo sobre um nó da Lightning Network. Com esses tokens em mãos, os atacantes acessaram carteiras conectadas e drenaram saldos em Bitcoin.
A Lightning Network é a camada 2 construída sobre o Bitcoin para tornar transações mais rápidas e baratas. Nós individuais roteiam pagamentos entre canais, e cada operador precisa manter suas chaves e macaroons isolados. Quando essa camada de credencial vaza, o efeito prático é semelhante ao de entregar a chave-mestra da tesouraria.
O BTCPay alertou os usuários pela primeira vez na sexta-feira, recomendando a instalação urgente da versão 2.4.2 ou o desligamento imediato dos servidores. Naquele momento, o projeto ainda não havia confirmado roubos nem detalhado o mecanismo do ataque. A fundação continua sem divulgar o volume total desviado, o número de vítimas ou se algum montante já foi recuperado.
Divisão da recompensa e doações a pesquisadores
Se múltiplas denúncias contribuírem para localizar os fundos, a recompensa será rateada em coordenação com as vítimas. Os critérios levarão em conta a perda individual de cada usuário, o valor efetivamente recuperado e a utilidade de cada informação prestada.
A fundação também vai doar 0,21 BTC ao pesquisador de segurança Craig Raw e o mesmo valor ao fundo Bitcoin Red Team, ambos responsáveis pela divulgação responsável da falha. “São contribuições modestas, mas é o que podemos oferecer como projeto FOSS e uma forma de valorizar o trabalho crítico de segurança que beneficia todo o ecossistema”, disse a equipe.
IA acelera descoberta de falhas em software Bitcoin
O BTCPay reconheceu que a inteligência artificial vem facilitando a identificação de vulnerabilidades em softwares ligados ao Bitcoin, o que pressiona projetos a acelerar revisões de código e priorizar patches sobre novas funcionalidades. A defesa contra esse cenário, segundo a fundação, exige ferramentas melhores, auditorias mais profundas e respostas mais ágeis.
O episódio se soma a uma sequência recente de ataques contra a infraestrutura cripto — a exchange Coinsbyu, por exemplo, perdeu US$ 8 milhões em um ataque envolvendo Tron e Ethereum. Para operadores brasileiros de merchant tools em Bitcoin, o exploit no BTCPay é especialmente delicado: parte dos e-commerces locais que aceitam BTC roda instâncias próprias do servidor justamente para evitar depender de gateways centralizados.
No plano regulatório doméstico, o timing coincide com a nova exigência do Banco Central para que exchanges peçam licença até 30 de outubro de 2026. Falhas dessa magnitude tendem a reforçar o argumento da autoridade monetária por padrões mais rígidos de custódia e segurança operacional, mesmo para prestadores que não intermediam ordens de terceiros. Discussões paralelas sobre swaps trustless entre Bitcoin e Lightning ganham peso após o incidente, ao mostrar por que reduzir superfícies de ataque em soluções self-hosted virou prioridade técnica no ecossistema.
