← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

BTCPay Server: carteiras de bitcoin drenadas e o que lojistas fazem

BTCPay Server mandou lojistas desligarem servidores após relatos de hot wallets de bitcoin esvaziadas. O que se sabe, quem corre risco e o que fazer.

2026-11-02

Na noite de 1º de novembro de 2026, por volta das 22h25 UTC, o projeto BTCPay Server — software livre e auto-hospedado usado por lojas e organizações para receber pagamentos em bitcoin sem intermediário — publicou um aviso urgente: estava recebendo relatos de hot wallets (carteiras com chaves guardadas no servidor) sendo esvaziadas por atacantes. A orientação foi direta: desligar as instalações com o comando ./btcpay-down.sh e mantê-las fora do ar até o fim da investigação. Um dos principais colaboradores resumiu: "Not a drill" (não é simulação).

O que aconteceu com o BTCPay Server?

Até a publicação deste texto, não havia estimativa oficial de quanto foi roubado nem de quantos lojistas foram afetados, e o projeto não tinha divulgado o caminho exato da invasão. As conclusões preliminares atribuídas ao fundador, Nicolas Dorier, apontam que:

os servidores comprometidos rodavam versões anteriores à 2.4.2;
os atacantes aparentemente entraram como administradores;
os servidores públicos e de demonstração do projeto, já na versão 2.4.7, não foram atacados.

A imprensa especializada ressalta que isso não garante que instalações atualizadas estejam seguras: ainda não se sabe se o acesso veio de credenciais roubadas, de uma falha de software ou de outra rota. Empresas como a Coincards tiraram suas instalações do ar por precaução.

Tem relação com a falha de agosto?

Não está confirmado. Em agosto de 2026, uma falha corrigida na versão 2.4.2 permitia que atacantes sem login obtivessem credenciais (os chamados macaroons) do LND, o software de nós da Lightning Network — e nós Lightning de lojistas foram drenados na época. Os desenvolvedores disseram que aquela falha não expunha as carteiras on-chain. Em 29 de outubro, a versão 2.4.7 corrigiu 85 achados de segurança (1 crítico, 13 altos, 52 médios e 19 baixos) reportados por um programa de varredura de código aberto da Anthropic. As reportagens afirmam que não há vínculo confirmado entre essas correções e os roubos atuais.

Data	Fato
Ago/2026	Falha permite roubo de credenciais LND; correção na 2.4.2; nós Lightning drenados
29/10/2026	Versão 2.4.7 corrige 85 achados de segurança
01/11/2026	Alerta: hot wallets sendo esvaziadas; ordem de desligar servidores
02/11/2026	Sem total de perdas, sem patch específico e sem liberação para religar

Quem é afetado?

Quem opera uma instância própria do BTCPay Server com hot wallet ativa — lojas virtuais, ONGs que recebem doações, prestadores de serviço e revendedores que hospedam a ferramenta para clientes. Quem usa BTCPay apenas com carteira watch-only (o servidor só conhece a chave pública, e a chave privada fica numa carteira de hardware ou fria) tem exposição muito menor, porque o servidor não consegue assinar transações. Clientes que pagaram em bitcoin a uma loja não perdem o que já foi pago, mas a loja pode ter perdido o saldo acumulado.

Por ser auto-hospedado, o BTCPay depende de cada operador para atualizar. Como observou a cobertura do caso, publicar uma correção não atualiza sozinha os servidores que terceiros mantêm — um problema comum a todo software que a própria empresa instala e esquece.

O que fazer agora se você usa BTCPay Server?

Desligue a instância com ./btcpay-down.sh e não religue até o projeto dar sinal verde.
Verifique o saldo da hot wallet num explorador de blocos usando o endereço/xpub; se ainda houver fundos e você tiver a semente em local seguro, considere movê-los para uma carteira nova, gerada fora do servidor.
Troque todas as senhas de administrador, ative 2FA e revise usuários e chaves de API cadastradas.
Preserve logs antes de reinstalar, para investigação e eventual boletim de ocorrência.
Ao voltar, atualize para a versão mais recente e prefira configuração watch-only, com chave privada fora do servidor.
Siga a recomendação do fundador: mantenha na hot wallet só o valor que você pode perder.

Como se proteger de ataques a carteiras de cripto?

O caso se soma a um outubro pesado para o setor, marcado pelo hack da Binance atribuído à Coreia do Norte. A lição vale para pessoas e empresas: carteira quente é conveniência, não cofre. Separe saldo operacional de reserva, use carteira de hardware para valores maiores e desconfie de qualquer "suporte" que apareça oferecendo recuperar fundos — é o golpe da falsa recuperação. Entenda também os drenadores de carteira e acompanhe a seção Cripto e o Radar.