BTCPay restringe o acesso remoto ao Lightning após invasores roubarem fundos

O BTCPay Server restringiu temporariamente as conexões remotas públicas para nós da Lightning Network que executam o software Lightning Network Daemon (LND) depois que invasores exploraram uma vulnerabilidade crítica para obter credenciais e mover fundos. 

A versão 2.4.2 instala o LND versão 0.21.1 e regenera automaticamente as credenciais macaroon em instalações padrão do BTCPay. O projeto recomendou que os operadores verifiquem por pagamentos não autorizados, fechamentos inesperados de canais, pares desconhecidos e discrepâncias nos saldos onchain ou Lightning.

A violação do BTCPay é o mais recente incidente de segurança envolvendo produtos amplamente utilizados do Bitcoin, após uma falha na carteira de hardware Coldcard ligada a mais de 100 milhões de dólares em perdas confirmadas. Os incidentes afetaram softwares ao redor do Bitcoin, e não o protocolo subjacente da rede.

Atualização faz rotação automática das credenciais da Lightning

O BTCPay afirmou que a vulnerabilidade permitia que um invasor remoto não autenticado obtivesse arquivos de credenciais “macaroon” usados para controlar o LND, uma implementação da Lightning Network. O projeto explicou que as credenciais expostas poderiam permitir que invasores assumissem o controle de um nó LND e movimentassem seus fundos.

De acordo com o aviso de segurança do projeto, a versão 2.4.2 instala o LND versão 0.21.1 e regenera automaticamente as credenciais macaroon em instalações padrão do BTCPay. Foi recomendado aos operadores que verifiquem pagamentos não autorizados, fechamentos inesperados de canais, pares desconhecidos e discrepâncias entre seus registros e os saldos onchain ou Lightning. 

Relacionado: Exploit na Coldcard eleva perdas de julho para US$247 milhões e torna o mês o segundo pior de 2026

O BTCPay também afirmou que operadores que expõem o LND através de seu próprio proxy reverso, serviço Tor, porta encaminhada ou outra rota fora do BTCPay devem rotacionar suas credenciais separadamente. O projeto informou que instalar a atualização não fecha rotas de acesso gerenciadas independentemente pelo operador. 

Pelo menos dois operadores relataram publicamente perdas. Nenhum deles divulgou o valor perdido. 

Revista: 10 coisas mais estranhas já tokenizadas... incluindo peidos