Bitcoin-hotwallets leeggehaald via oude BTCPay Server-installaties, update naar 2.4.7 dringend nodig

Draai je een webshop of donatiepagina op een verouderde versie van BTCPay Server? Dan loop je nu een reëel risico om je bitcoin kwijt te raken. Het opensource betaalplatform waarschuwde op zondag 1 november dat aanvallers hotwallets op BTCPay-servers leegtrekken. Alle beheerders kregen het advies hun installatie direct uit te zetten. Een dag later was het beeld scherper: het probleem zit in versie 2.4.1 en ouder. Over de nieuwste release, 2.4.7, heeft het project geen geloofwaardige meldingen van leeggehaalde wallets ontvangen.

Eerst alles uit, daarna gerichter advies

De eerste melding was kort en liet weinig ruimte voor nuance. "We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers", schreef het project op X. Het team meldde dus dat onbevoegden hotwallets leegvegen. Operators moesten hun server met het script ./btcpay-down.sh uitschakelen tot het onderzoek klaar was. Op maandag kwam de update: het incidentonderzoek had een aanvalsvector gevonden die zich richt op versies tot en met 2.4.1. Die versie verscheen op 23 juli 2026.

Medeoprichter Nicolas Dorier gaf in een aparte verklaring meer details. De publieke servers van het project draaien op 2.4.7 en zijn niet aangevallen. Bij de meldingen die hij kent, gaat het om installaties met een versie van vóór 2.4.2. De aanvaller wist in te loggen met beheerdersrechten, maar hoe die toegang tot stand kwam, wordt nog onderzocht.

BTCPay Server heeft niet bekendgemaakt hoeveel bitcoin er gestolen is, hoeveel servers getroffen zijn of hoeveel gebruikers schade hebben gemeld. Ook de technische zwakte zelf blijft voorlopig geheim. Zolang er nog kwetsbare installaties online staan, is dat te begrijpen.

Waarom juist hotwallets

Een korte uitleg voor wie minder thuis is in de techniek. BTCPay Server is software die je zelf host, zodat je bitcoinbetalingen ontvangt zonder betaaldienst als tussenpersoon. Je kunt er een wallet aan koppelen. Bij een hotwallet staan de sleutels op de server zelf, en die is altijd online. Dat is handig, want de server kan dan zelf transacties ondertekenen. Het nadeel: wie als beheerder binnenkomt, kan het saldo in één keer naar een eigen adres sturen. Dat is hier precies gebeurd. Bij een koppeling waarbij de sleutels offline blijven, bijvoorbeeld op een hardware wallet, kan een indringer op de server de munten niet zomaar verplaatsen.

Tweede klap binnen drie maanden

Dit incident is extra pijnlijk door wat eraan voorafging. In augustus waarschuwde BTCPay Server al voor een lek dat actief werd misbruikt. Aanvallers konden daarmee de LND-beheerderscredentials buitmaken, de zogeheten admin macaroon, en gekoppelde Lightning-wallets leeghalen. Gewone on-chain wallets, ook hotwallets, liepen toen volgens het project geen gevaar. Daarna volgde nog een premie voor wie gestolen geld terugbracht: 10 procent van het teruggehaalde bedrag, met een maximum van 3 BTC.

Opvallend genoeg trekt Dorier nu dezelfde grens: installaties van vóór 2.4.2. Of de twee incidenten technisch met elkaar te maken hebben, heeft het project niet gezegd. Voor beheerders is de les toch duidelijk. Wie de dringende oproep van augustus heeft genegeerd, draait software waar aanvallers aantoonbaar op jagen. Zelf hosten geeft je volledige controle over je geld, maar ook over het onderhoud. Niemand installeert die patch voor je.

Wat beheerders nu moeten doen

Hostingbedrijven grijpen inmiddels zelf in. BTCPay Server bedankte LunaNode en andere aanbieders voor hun snelle reactie. Host je via zo'n partij, dan is je server misschien al automatisch uitgezet. Dat betekent wel dat je tijdelijk geen betalingen ontvangt. Het onderzoek loopt nog.

• Controleer welke versie je draait. Zit je op 2.4.1 of ouder, zet de server dan uit en update naar 2.4.7.
• Gebruik je een hotwallet? Overweeg dan om het saldo naar een adres te verplaatsen waarvan de sleutels niet op de server staan, zodra je server weer veilig draait.
• Denk je dat je getroffen bent? Stuur dan de details en serverlogs naar het securityteam van BTCPay Server, zoals het project vraagt.