A BTCPay Server először arra kérte az üzemeltetőket, hogy a vizsgálat idejére állítsák le szervereiket a ./btcpay-down.sh paranccsal, miután jelentések érkeztek jogosulatlan tárcakiürítésekről. A projekt később pontosította, hogy az azonosított támadási módszer a 2.4.1-es vagy régebbi verziókat futtató telepítéseket érinti. A 2026. július 23-án kiadott 2.4.1-es változat is ebbe a körbe tartozik. A csapat a 2.4.7-es legújabb verziót használóktól nem kapott hiteles jelentést forró tárcák kiürítéséről, és frissítésre kérte az üzemeltetőket.
A társalapító Nicolas Dorier szerint a támadók rendszergazdai jogosultsággal tudtak belépni az érintett példányokra, de egyelőre nem tudni, hogyan szerezték meg a hozzáférést. A BTCPay Server nem közölte, hány szerver vagy üzemeltető érintett, illetve mekkora összeget lophattak el; a technikai részleteket sem ismertette. Az érintettektől incidensadatokat és szervernaplókat kértek a biztonsági csapat vizsgálatához. A LunaNode és más tárhelyszolgáltatók elővigyázatosságból egyes példányokat leállítottak.
Az ügy kevesebb mint három hónappal azután került napvilágra, hogy a BTCPay Server egy augusztusi támadás nyomán korlátozta a Lightning-hozzáférést. Akkor egy sérülékenység révén LND-hitelesítő adatokhoz jutottak a támadók, de nem tudni, hogy ez összefügg-e a mostani incidenssel. A vizsgálat folytatódik, helyreállított ellopott összegről vagy annak lezárására kitűzött időpontról nem számoltak be.
A forró tárcák kockázata
Az újabb beszámolók szerint a vizsgálat olyan sérülékenységek nyomait találta, amelyek már a 2.4.2-es verzió augusztusi javítása előtt is jelen voltak. Ez legalább a második, három hónapon belüli olyan eset, amikor 2.4.2-nél régebbi BTCPay-telepítésekből loptak el pénzt, bár a korábbi Lightning-hitelesítőadat-lopás és a mostani támadás közötti kapcsolat továbbra sem tisztázott. A projekt nem közölte, hogy az eset összefügg-e a 2.4.7-es sürgősségi kiadással, amely egy kritikus és több közepes súlyosságú hibát javított; ezeket az Anthropic nyílt forráskódú szoftvereket vizsgáló szkennere jelezte. A BTCPay alapvetően saját szerveren fut, a forró tárca pedig lehetővé teszi, hogy a szerver automatikusan írjon alá tranzakciókat. Nicolas Dorier, aki maga is forró tárcával használja a 2.4.7-et, arra figyelmeztetett, hogy senki ne tartson ilyen szerveren többet annál, amennyit kész elveszíteni. A korábbi, augusztusi ügyben a támogatók a visszaszerzett pénzek 10%-ának megfelelő, legfeljebb 3 BTC-s jutalmat ajánlottak fel. A cikkek a javítatlan csomópontokat célzó támadások tágabb mintájára is felhívták a figyelmet, és megemlítették, hogy a Core Lightning nemrég hasonló veszélyre figyelmeztetett.