PENTESTY · ANÁLISE EDITORIAL · · 5 min de leitura
BTCPay: o servidor mudou. Quem ainda pode gastar?
Trocar a máquina exige rever a autoridade que acompanha a carteira. Organize a migração e o aceite das integrações antes de reabrir o fluxo de pagamentos.
Por Pentesty
Duas datas que mudam a decisão
BTCPay relatou em 2 de novembro roubos on-chain de Bitcoin e Litecoin em hot wallets de instalações 2.4.1 ou anteriores.
O aviso de 7 de agosto informou a correção em 2.4.2 e delimitou o risco então analisado às credenciais da implementação Lightning Network Daemon (LND). Esse recorte histórico e a investigação de novembro precisam manter seus próprios escopos. Esta análise, de 3 de novembro, propõe critérios de recuperação; a Pentesty não periciou os incidentes.
Defina o que a nova implantação precisa provar
O projeto orienta reconstruir todas as instalações até 2.4.1, inclusive atualizadas após o alerta de 1º de novembro, com servidor, carteira e seed novos. Indícios de invasão exigem isso mesmo após atualizar; gere a seed em dispositivo confiável. A proposta da Pentesty é transformar a reconstrução em decisões que outra equipe consiga conferir.
Preserve logs e registros de transações antes da substituição; não restaure backup integral do servidor antigo na nova máquina. Revogue e substitua credenciais potencialmente expostas de hospedagem, SSH, aplicação, API e Lightning em dispositivo confiável, sem inserir novos segredos na máquina antiga.
Na resposta de 10 de agosto, o projeto também orientou reduzir os fundos operacionais mantidos online. Para o plano atual, defina com a operação quem aprova esse limite e em que condição ele será revisto.
Aceite a retomada com as lacunas visíveis
Associe os resultados à configuração examinada, ao horário e às pessoas que aceitaram a continuidade. Inclua integrações agendadas e o procedimento que provisionará o próximo servidor. Uma exceção precisa indicar o efeito no fluxo e quem decide sobre sua permanência, com prazo de revisão. Na entrega, associe o artefato implantado à versão escolhida e à evidência de origem examinada. O marco histórico não define o alvo atual da atualização.
Entregue evidências suficientes para repetir o ensaio sem distribuir segredos: identificadores internos, decisões observadas e registros protegidos. O responsável financeiro deve reconhecer a operação de negócio; operações precisa conseguir localizar a configuração que a executou. Especifique as funções que ainda não foram verificadas.
Mantenha a apuração de acesso anterior com cobertura temporal e responsável próprios. A análise sobre correção e recuperação no Exchange desenvolve essa separação. O aceite descrito aqui documenta uma amostra autorizada e suas limitações, sem concluir que todas as formas de comprometimento foram excluídas. Os controles exercitados e as etapas simuladas precisam ser identificados na conclusão.
Perguntas frequentes
O saldo sem alteração permite encerrar a revisão?
A decisão precisa considerar as evidências disponíveis e sua cobertura. Registre o que foi examinado, as lacunas e quem acompanha a investigação, sem usar uma observação financeira isolada como conclusão sobre acessos.
Como documentar a nova seed sem expor o segredo?
Registre responsáveis, procedimento de custódia e identificadores internos que não revelem seu conteúdo. A documentação de manutenção deve permitir revisar a decisão sem conter palavras de recuperação, chaves ou capturas desses materiais.
O ensaio exige enviar criptomoedas?
O exercício proposto usa identidades e dados sintéticos com executor simulado. Seu método deve impedir assinatura e transmissão reais; registre as diferenças em relação à produção e o alcance da conclusão.
Quem aceita a integração antes da retomada?
Defina os responsáveis técnico, operacional e financeiro para o fluxo avaliado. Cada aceite deve apontar resultados observados, funções pendentes e critérios para interromper a operação se o comportamento esperado mudar.
Fontes e referências
- BTCPay: investigação e recuperação, 2 de novembro de 2026
- BTCPay: escopo do aviso LND de 7 de agosto de 2026
- BTCPay: resposta de 10 de agosto de 2026
Análise original da Pentesty, publicada em 3 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.