سرقة بيتكوين ولايتكوين من محافظ ساخنة عبر ثغرة في BTCPay Server

خبر:

محافظ ساخنة تابعة لمستخدمي BTCPay Server تعرّضت لعمليات سحب بيتكوين ولايتكوين، بعد استغلال مهاجمين ثغرة في نسخ قديمة من معالج الدفع المشفّر مفتوح المصدر. وقال المشروع إن تحقيقه وجد أن الهجمات طالت الخوادم التي تشغّل النسخة 2.4.1 أو ما قبلها، وأن المهاجمين استخدموا أسلوباً مختلفاً لاستغلال ثغرة سبق إصلاحها في النسخة 2.4.2.

تفصيل:

• النسخ المتأثرة: بحسب BTCPay Server، استهدفت الهجمات الخوادم العاملة بالنسخة 2.4.1 الصادرة في 23 يوليو 2026 أو أقدم منها. وأوضح المشروع أن المهاجمين اعتمدوا طريقة مختلفة لاستغلال الثغرة ذاتها التي جرى إصلاحها في النسخة 2.4.2 الصادرة في 7 أغسطس 2026.
• التوصية الأمنية: نصح المشروع مشغّلي النسخ القديمة بالانتقال إلى خادم جديد بمحفظة جديدة، حتى لو لم يلاحظوا أي سرقة. وفي حال سرقة أموال أو الاشتباه بوصول غير مصرّح به، دعا إلى اعتبار الجهاز بأكمله وكل الأسرار المخزّنة عليه مكشوفة.
• التوقيت: لم يُعرف حتى الآن متى بدأ المهاجمون باستغلال الثغرة فعلياً. وذكر المشروع أن البلاغات بدأت بالظهور في الأول من نوفمبر 2026، من دون تحديد عدد الضحايا أو قيمة الأموال المسروقة.
• النسخة الآمنة: قال المشروع في منشور على إكس إنه لم ترده بلاغات موثوقة عن استنزاف محافظ لدى مستخدمي النسخة 2.4.7، التي تعالج ثغرة حرجة وأخرى متوسطة الخطورة اكتُشفت عبر أداة الفحص مفتوحة المصدر التابعة لأنثروبيك.
• عناوين المهاجمين: نشر المشروع عنواني محفظتين مرتبطتين بالحوادث: عنوان بيتكوين يبدأ بـ bc1p0f7wmcne، وعنوان لايتكوين يبدأ بـ ltc1qp49tmfd. ونصح من يحتاج محفظة ساخنة بإبقاء الحد الأدنى من الأموال على الخادم ونقل الباقي إلى محفظة مفاتيحها خارجه.
• الاستضافة: حذّر المشروع من أن المستخدمين الذين يشغّلون BTCPay Server عبر مزوّد استضافة قد يجدون نسخهم موقوفة تلقائياً، في إجراء يهدف إلى منع استغلال الإصدارات القديمة.
• ثغرة أغسطس: في أغسطس 2026، أعلن المشروع أن ثغرة حرجة تصيب جميع النسخ استُخدمت لسرقة أموال بعض المستخدمين، وجرى إصلاحها في النسخة 2.4.2. وقال حينها إنها تتيح لمهاجم عن بُعد غير موثّق الحصول على ملفات اعتماد macaroon الخاصة بعقد LND وتحريك الأموال.
• حوادث متزامنة: تزامن الكشف مع اختراقات أخرى في قطاع العملات المشفّرة، شملت سرقة 6.43 مليار دولار من بينانس نُسبت إلى جهات تهديد كورية شمالية، وتوقّف منصة بوليماركت مؤقتاً بعد استغلال بقيمة 2.65 مليون دولار إثر اختراق برمجية طوّرتها ديباغ بير.
• تريزور: حذّرت شركة تريزور لمحافظ العتاد من بلاغ إفصاح مسؤول يزعم وجود زرع مادي داخل جهاز Trezor Safe 5 اشتُري من كريبتو بيليس في أغسطس 2026. وقُدّر أن ذلك جزء من هجوم على سلسلة التوريد يستهدف سرقة العبارة السرية عبر أجهزة مُعبث بها لدى موزّعين خارجيين.
• ميركادو بيتكوين: أكبر منصة تداول مشفّر في البرازيل علّقت الإيداعات والسحوبات الاثنين بعد اختراق أمني، وقدّرت في بيان الأموال المسروقة بنحو 49 مليون دولار، فيما ذكرت على إكس أن قيمة الأصول المعنية قرابة 38 مليون دولار. وقالت إنها جمّدت 11 مليون دولار بالتعاون مع تيثر وسيركل وباكسوس وBRL1 وتشيناليسيس، فيما أكد الرئيس التنفيذي لتيثر باولو أردوينو تجميد أكثر من 4.5 مليون من USDT.

خلفية:

BTCPay Server معالج دفع مشفّر مفتوح المصدر يستضيفه المستخدمون على خوادمهم الخاصة، ما يجعل أمن كل نسخة مسؤولية مشغّلها لا جهة مركزية. والمحافظ الساخنة متصلة دائماً بالإنترنت، وهو ما يجعلها هدفاً مباشراً عند انكشاف الخادم.

بين السطور:

توصية المشروع بنقل الخادم والمحفظة بالكامل، حتى لدى من لم يلاحظوا سرقة، تشير إلى أن الاختراق يُقدَّر بأنه طال المفاتيح المخزّنة على الجهاز لا الأموال وحدها. كما أن إيقاف مزوّدي الاستضافة للنسخ القديمة تلقائياً يعكس تقديراً بأن النسخ غير المحدّثة ما زالت قابلة للاستغلال على نطاق واسع.

ماذا بعد؟

متابعة استئناف ميركادو بيتكوين للإيداعات والسحوبات، وحجم المبالغ الإضافية التي تُجمَّد عبر شركائها، إضافة إلى ما قد يصدر عن BTCPay Server بشأن حصيلة الخسائر وصلة الهجمات الأخيرة بثغرة أغسطس.