Falha no BTCPay Server permite esvaziamento de fundos em nós Lightning

O BTCPay Server, processador de pagamentos open source usado por milhares de comerciantes de Bitcoin no mundo, publicou um alerta de segurança urgente em 7 de agosto após invasores explorarem uma vulnerabilidade crítica para drenar fundos de nós Lightning conectados ao sistema. Segundo o projeto, a falha abriu caminho para acesso não autorizado a credenciais de nós Lightning. Ao menos dois membros conhecidos da comunidade confirmaram que seus nós foram esvaziados durante a noite. A Foundation, empresa por trás de uma linha popular de carteiras de hardware, e o hodlonaut, responsável pela publicação de Bitcoin Citadel21, relataram que seus canais Lightning foram encerrados à força (forceclosed) e os saldos foram varridos. As hot wallets associadas não foram afetadas, o que aponta para um vetor ligado especificamente à forma como o BTCPay Server tratava a autenticação do nó Lightning. O que aconteceu No centro do incidente estão as credenciais do Lightning conhecidas como "macaroons", que funcionam como chaves de API e concedem permissões para executar ações em um nó. O problema, de acordo com o alerta, é que essas credenciais continuavam válidas mesmo após usuários aplicarem atualizações anteriores. Operadores que mantiveram o BTCPay Server em dia ainda permaneceram expostos porque macaroons antigos seguiam aceitos e exigiam uma renovação manual das credenciais. No mesmo dia do alerta, o BTCPay Server lançou a versão 2.4.2 e recomendou a atualização do backend NBXplorer para a versão 2.6.10. A orientação foi direta: atualizar imediatamente ou desligar totalmente os servidores para evitar novas perdas. O projeto também destacou que este caso é separado de um bug de autenticação anterior, corrigido poucos dias antes. O paradoxo do auto-hospedado A Foundation fabrica carteiras de hardware, dispositivos pensados para oferecer o máximo controle ao usuário sobre seus próprios bitcoins. O fato de a empresa ter sido surpreendida por um exploit no BTCPay Server reforça o quanto é exigente manter segurança rigorosa em todas as camadas de um ambiente auto-hospedado. O episódio ocorre num momento de maior escrutínio sobre a infraestrutura do Bitcoin. Uma falha recente de firmware da Coldcard colocou a segurança de carteiras de hardware em evidência, e o Bitcoin Red Team vem conduzindo auditorias assistidas por IA em ferramentas críticas do ecossistema. O uso ativo desta vulnerabilidade antes de ser identificado por esforços de auditoria reacende dúvidas sobre a capacidade do processo atual de revisão de segurança acompanhar a ampliação da superfície de ataque. Impacto e próximos passos Tanto o BTCPay Server quanto o Bitcoin Red Team indicaram que análises técnicas detalhadas do exploit devem ser publicadas nos próximos dias. O ponto sensível deste incidente, credenciais que sobrevivem a atualizações de software, expõe uma classe de falhas fácil de passar despercebida. Quando a correção depende de uma etapa manual adicional que não é óbvia, abre-se um intervalo entre estar "atualizado" e estar "seguro", terreno fértil para atacantes. Para comerciantes e operadores que ainda usam versões antigas do BTCPay Server com Lightning habilitado, a recomendação é tratar o caso como urgente. A orientação do projeto para desligar os servidores caso não seja possível atualizar imediatamente foge do tom usual de mantenedores de software open source.