สรุปสั้น

BTCPay Server คือ ระบบรับชำระเงินด้วยคริปโตแบบโอเพนซอร์สที่ร้านค้าติดตั้งบนเซิร์ฟเวอร์ของตัวเอง โดยไม่ต้องผ่านตัวกลาง เมื่อเดือนสิงหาคม 2569 ผู้พัฒนาเคยเตือนว่าช่องโหว่ร้ายแรงที่กระทบทุกเวอร์ชันถูกใช้ขโมยเงินผู้ใช้บางราย และแก้ในเวอร์ชัน 2.4.2 ล่าสุดตั้งแต่ราววันที่ 1 พฤศจิกายน 2569 มีรายงานใหม่ว่า Bitcoin และ Litecoin ถูกดูดออกจาก hot wallet (กระเป๋าที่เก็บคีย์ไว้บนเซิร์ฟเวอร์เพื่อใช้จ่ายอัตโนมัติ) ของเซิร์ฟเวอร์ที่รันเวอร์ชัน 2.4.1 หรือเก่ากว่า ผู้พัฒนาระบุว่าผู้โจมตีใช้ “วิธีอื่น” โจมตีช่องโหว่ที่แก้ไปแล้วในเวอร์ชัน 2.4.2 และขอให้ผู้ใช้เวอร์ชันเก่าย้ายไปเซิร์ฟเวอร์ใหม่พร้อมกระเป๋าใหม่ แม้ยังไม่พบว่าเงินหายก็ตาม

ช่วงเดียวกันวงการคริปโตถูกโจมตีต่อเนื่อง ล่าสุดบริษัท Mercado Bitcoin ตลาดซื้อขายคริปโตใหญ่ที่สุดของบราซิล ระงับการฝากและถอนชั่วคราวหลังถูกขโมยเงินราว 49 ล้านดอลลาร์ ก่อนหน้านั้นมีเหตุขโมยเงินจาก Binance ครั้งใหญ่ที่สุดในประวัติศาสตร์ (2026/10/340 ) ที่ FBI ยืนยันว่าเป็นฝีมือกลุ่มเกาหลีเหนือ (2026/11/005 ) ร้านค้าที่ใช้ BTCPay Server เวอร์ชันเก่าควรถือว่าเครื่องและความลับทั้งหมดบนเครื่องรั่วแล้ว ย้ายเงินไปกระเป๋าใหม่ที่เก็บคีย์ไว้นอกเซิร์ฟเวอร์ และอัปเดตเป็นเวอร์ชัน 2.4.7

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่าทีม BTCPay Server ระบุว่าการสอบสวนพบว่าการโจมตีเล็งเซิร์ฟเวอร์ที่รัน BTCPay Server 2.4.1 (ออกเมื่อ 23 กรกฎาคม 2569) หรือเก่ากว่า โดยผู้โจมตีใช้วิธีอื่นโจมตีช่องโหว่ที่แก้ในเวอร์ชัน 2.4.2 ซึ่งออกเมื่อ 7 สิงหาคม 2569 ยังไม่ทราบว่าการโจมตีเริ่มเมื่อไร แต่รายงานเริ่มปรากฏราววันที่ 1 พฤศจิกายน ผู้พัฒนาโพสต์บน X ว่ายังไม่มีรายงานที่น่าเชื่อถือว่ากระเป๋าบนเวอร์ชันล่าสุด 2.4.7 ถูกดูด เวอร์ชันนี้แก้ช่องโหว่ร้ายแรง 1 ตัวและระดับกลางอีกหลายตัวที่พบด้วยเครื่องมือสแกนซอฟต์แวร์โอเพนซอร์สของบริษัท Anthropic ผู้พัฒนายังระบุว่าผู้ใช้ที่รันผ่านผู้ให้บริการโฮสต์ติ้งอาจพบว่าอินสแตนซ์ถูกปิดอัตโนมัติ เพื่อกันไม่ให้เวอร์ชันเก่าถูกโจมตี

ด้าน Mercado Bitcoin แจ้งบน X เมื่อวันที่ 2 พฤศจิกายน 2569 ว่าระงับการฝากและถอนหลังเหตุละเมิดความปลอดภัยที่ทำให้เงินถูกขโมยราว 49 ล้านดอลลาร์ ขณะนี้มูลค่าสินทรัพย์ที่เกี่ยวข้องอยู่ราว 38 ล้านดอลลาร์ เพราะบริษัทร่วมกับ Tether, Circle, Paxos, BRL1 และ Chainalysis อายัดได้แล้ว 11 ล้านดอลลาร์ และกำลังติดตามส่วนที่เหลือ นาย Paolo Ardoino ซีอีโอของ Tether ยืนยันว่าอายัด USDT ไปแล้วกว่า 4.5 ล้าน ข้อจำกัดของข้อมูล คือ ทั้งสองเหตุยังไม่มีความเชื่อมโยงกัน BTCPay Server ไม่ได้บอกว่าการโจมตีระลอกนี้เป็นช่องโหว่ตัวเดียวกับเดือนสิงหาคมหรือไม่ และไม่ได้เปิดเผยจำนวนเซิร์ฟเวอร์ที่ถูกดูดหรือมูลค่ารวม ส่วน Mercado Bitcoin ยังไม่เปิดเผยว่าถูกเจาะด้วยวิธีใด

วิธีการโจมตี

ช่องโหว่เดิมที่ถูกแก้แล้ว แต่ถูกยิงด้วยวิธีใหม่ — เมื่อเดือนสิงหาคม ผู้พัฒนาอธิบายว่าช่องโหว่ทำให้ผู้โจมตีที่ไม่ได้ยืนยันตัวตนดึงไฟล์ .macaroon ของ LND ออกไปได้ LND คือ ซอฟต์แวร์โหนดของ Lightning Network (เครือข่ายชำระเงินชั้นที่สองของ Bitcoin) ส่วนไฟล์ macaroon คือ credential ที่ใช้สั่งงานโหนด ใครได้ไฟล์นี้จะคุมโหนดและโอนเงินได้ การโจมตีที่ตรวจในตอนนั้นเล็งเฉพาะไฟล์นามสกุล .macaroon ระลอกใหม่นี้ผู้พัฒนาระบุเพียงว่าใช้วิธีต่างออกไป และยังไม่ได้เปิดเผยรายละเอียด

เป้าหมาย คือ hot wallet ที่คีย์อยู่บนเซิร์ฟเวอร์ — hot wallet ทำให้ร้านจ่ายเงินหรือคืนเงินได้อัตโนมัติ แต่ก็แปลว่าคีย์ที่ใช้จ่ายเงินอยู่บนเครื่องที่ต่ออินเทอร์เน็ต เมื่อผู้โจมตีเข้าถึงเครื่องได้ เงินทั้งหมดในกระเป๋าจึงถูกโอนออกได้ทันที นี่ คือ เหตุผลที่ผู้พัฒนาสั่งให้ย้ายเซิร์ฟเวอร์และสร้างกระเป๋าใหม่ ไม่ใช่แค่อัปเดต

ที่อยู่กระเป๋าที่ผู้พัฒนาเปิดเผย — Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 และ Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee ใช้ตรวจว่าเงินจากกระเป๋าของตัวเองถูกโอนไปที่อยู่เหล่านี้หรือไม่

ผลกระทบ

กลุ่มที่โดนตรง คือ ร้านค้าและผู้ให้บริการที่ติดตั้ง BTCPay Server เอง รันเวอร์ชัน 2.4.1 หรือเก่ากว่า และเปิด hot wallet หรือโหนด Lightning ไว้บนเซิร์ฟเวอร์ เงินที่อยู่บนเครื่องเสี่ยงหายทั้งหมด และเพราะผู้พัฒนาให้ถือว่าเครื่องทั้งเครื่องรั่ว ความลับอื่นที่เก็บไว้ด้วย เช่น API key ของร้านค้าหรือ credential ของบริการที่เชื่อมอยู่ ก็ต้องเปลี่ยนทั้งหมด ร้านที่อัปเดตเป็น 2.4.2 ขึ้นไปตั้งแต่สิงหาคมมีความเสี่ยงต่ำกว่า แต่ยังควรขึ้นเวอร์ชัน 2.4.7 เพราะมีช่องโหว่ร้ายแรงอีกตัวที่เพิ่งแก้

ภาพรวม คือ เงินคริปโตที่วางไว้บนระบบที่ต่ออินเทอร์เน็ตกำลังถูกไล่ล่าจากทุกทาง ทั้งช่องโหว่ในซอฟต์แวร์รับชำระเงินอย่าง BTCPay Server ตลาดซื้อขายอย่าง Mercado Bitcoin และ Binance สคริปต์บุคคลที่สามอย่างกรณี Polymarket (2026/10/363 ) ไปจนถึงฮาร์ดแวร์วอลเล็ตที่ถูกดัดแปลงระหว่างทางอย่าง Trezor (2026/10/346 ) ร้านค้าที่ดูแลเซิร์ฟเวอร์เองต้องรับผิดชอบการอัปเดตและการแยกคีย์เองทั้งหมด

คำแนะนำ

  • ผู้ใช้ BTCPay Server 2.4.1 หรือเก่ากว่า — ทำทันที: ย้ายไปเซิร์ฟเวอร์ใหม่ที่ติดตั้งเวอร์ชัน 2.4.7 พร้อมสร้างกระเป๋าใหม่ แล้วโอนเงินที่เหลือออก แม้ยังไม่พบว่าเงินหาย ตามคำแนะนำของผู้พัฒนา
  • ผู้ใช้เวอร์ชัน 2.4.2-2.4.6 — ทำทันที: อัปเดตเป็น 2.4.7 ซึ่งแก้ช่องโหว่ร้ายแรงเพิ่มเติม หากเวอร์ชันเก่ามาก อาจต้องอัปเดตหลายขั้น
  • ตรวจว่าโดนแล้วหรือยัง: เทียบประวัติธุรกรรมของ hot wallet กับที่อยู่กระเป๋า 2 ที่อยู่ที่ผู้พัฒนาเปิดเผย และตรวจว่าโหนด LND มีการเปิดหรือปิดช่องทาง (channel) ที่ไม่ได้สั่งเองหรือไม่
  • ถ้าโดนแล้ว: ถือว่าเครื่องและความลับทั้งหมดบนเครื่องรั่ว เปลี่ยน API key, รหัสผ่าน และ credential ของบริการที่เชื่อมทั้งหมด และสร้างไฟล์ macaroon ใหม่บนโหนดใหม่
  • ระยะยาว: เก็บเงินใน hot wallet เท่าที่ต้องใช้ในงานประจำวันเท่านั้น และย้ายส่วนที่เหลือไปกระเป๋าที่คีย์ใช้จ่ายอยู่นอกเซิร์ฟเวอร์ ตามที่ผู้พัฒนาแนะนำ
  • ผู้ใช้ Mercado Bitcoin: ติดตามประกาศผ่านช่องทางทางการของบริษัทเท่านั้น และระวังข้อความที่อ้างว่าช่วยถอนเงินหรือกู้บัญชี ซึ่งมักตามมาหลังเหตุแบบนี้

แหล่งอ้างอิง