Команда проекта объявила, что атака затронула старые версии платежного программного обеспечения. Уязвимость актуальна для кошельков, работающих на версии 2.4.1 и более ранних, то есть на прошивках, выпущенных до 23 июля включительно. 

Представители платформы не раскрыли количество пострадавших операторов, сумму похищенных средств и технические детали того, как злоумышленники получили доступ к кошелькам. Пострадавшим пользователям сервиса рекомендовано передавать информацию в команду безопасности BTCPay. Будут ли средства возмещены пользователям, тоже пока не сообщается.  

BTCPay Server — бесплатная платежная система с открытым исходным кодом. Она позволяет интернет-магазинам и другим организациям принимать первую криптовалюту самостоятельно, без посредников.

В августе BTCPay Server уже призывал операторов отключить серверные экземпляры на время расследования инцидентов с несанкционированным выводом средств из кошельков и давал инструкции по отключению серверов. Тогда была выявлена уязвимость, позволявшая злоумышленникам получать учетные данные Lightning Network Daemon (LND) и похищать средства. Тогда пострадали как минимум две компании, одна из них — производитель аппаратных кошельков Foundation. 

Неделю назад компания-производитель аппаратных кошельков Keystone объявила, что уничтожит 18 835 устройств из своих запасов на складе. Решение принято после того, как злоумышленник, получивший доступ к клиентским данным, завладел ключом, с помощью которого компания проверяет подлинность своих устройств. 

Все это происходит на фоне проблем другого производителя крипокошельков, французской Ledger. Компания признала, что группа хакеров специально скупала устройства, вскрывала кошельки и устанавливали скрытые модули для перехвата сид‑фраз. Кошельки со шпионскими модулями появились даже на российском маркеплейсе Ozon. На днях устройства со шпионскими модулями также обнаружили в Сеуле, как минимум у двоих инвесторов похищено $2,7 млн. 

О возможном наличии опасного чипа в своих холодных кошельках также заявила и компания Trezor, но данные не подтверждены.