ข่าวสาร คริปโต ข่าว Bitcoin ข่าวต่างประเทศ โจรกรรม (อาชญากรรม)

BTCPay Server เตือนปิดเซิร์ฟเวอร์ด่วน แฮกเกอร์กวาดฮอตวอลเล็ตเวอร์ชันเก่า

2 พฤศจิกายน 2026

0

📌 สรุป 3 บรรทัด: BTCPay Server ออกเตือนด่วน 1 พ.ย. 2569 ให้ผู้ดูแลเซิร์ฟเวอร์ปิดระบบชั่วคราว หลังพบแฮกเกอร์ไล่กวาดฮอตวอลเล็ต Bitcoin ที่เชื่อมกับเซิร์ฟเวอร์เวอร์ชันเก่ากว่า 2.4.2 · ผู้ก่อตั้ง Nicolas Dorier ยืนยันเวอร์ชันล่าสุด 2.4.7 ยังไม่มีรายงานผู้เสียหายที่น่าเชื่อถือ แต่ยังไม่เปิดเผยมูลค่าความเสียหายรวม · เหตุเกิดเพียง 3 วันหลังอัปเดตแพตช์ความปลอดภัยที่แก้ช่องโหว่ไป 85 รายการ

BTCPay Server ซอฟต์แวร์รับเงินคริปโตแบบโอเพนซอร์สที่ร้านค้าและนักพัฒนาทั่วโลกใช้รับ Bitcoin โดยไม่ต้องพึ่งตัวกลาง ออกประกาศเตือนฉุกเฉินเมื่อคืนวันที่ 1 พฤศจิกายน 2569 เวลาประมาณ 22:25 UTC ว่าได้รับรายงานการโจมตีจากผู้ไม่หวังดีที่เข้าถึงฮอตวอลเล็ตของผู้ใช้บางรายโดยไม่ได้รับอนุญาต พร้อมสั่งให้ผู้ดูแลระบบปิดเซิร์ฟเวอร์ของตนเองทันทีด้วยคำสั่ง ./btcpay-down.sh จนกว่าทีมจะสอบสวนเสร็จ

ราคา Bitcoin (BTC) วันนี้ บิตคอยน์

฿2,641,563.59▲0.59%

ราคา Bitkub ฿2,640,034.98 (พรีเมียม -0.06%)

สูง/ต่ำ 24 ชม. ฿2,659,496.68 / ฿2,616,805.26

ดูกราฟและข้อมูลเต็ม →

ข้อมูลจาก SiamBitcoin Cap · อัปเดต 13:05

📑 สารบัญ

เกิดอะไรขึ้น
ใครโดนบ้าง เวอร์ชันไหนเสี่ยง
ครั้งที่ 2 ในปีเดียว — เคยโดนช่องโหว่ Lightning มาก่อน
มุมไทย — ร้านค้าที่ใช้ BTCPay รับเงินคริปโตต้องทำยังไง
คำถามที่พบบ่อย

เกิดอะไรขึ้น

บัญชี X ทางการของ BTCPay Server (@BtcpayServer) โพสต์เตือนตอนดึกวันที่ 1 พฤศจิกายนว่า “เรากำลังได้รับรายงานว่าฮอตวอลเล็ตบน BTCPay Server ถูกกวาดเงินโดยผู้ไม่ได้รับอนุญาต หากกำลังรันเซิร์ฟเวอร์อยู่ กรุณาปิดระบบด้วย ./btcpay-down.sh จนกว่าการสอบสวนจะเสร็จสิ้น” ผู้ร่วมพัฒนาหลักอีกคนคือ Uncle Rockstar Developer ย้ำผ่าน X ว่า “ไม่ใช่การซ้อม — ปิด BTCPay Server เดี๋ยวนี้ถ้ามีฮอตวอลเล็ตต่ออยู่”

Nicolas Dorier ผู้ก่อตั้งโปรเจกต์ให้ข้อมูลเพิ่มเติมในวันที่ 2 พฤศจิกายนว่าผู้โจมตีสามารถล็อกอินเข้าสิทธิ์ผู้ดูแลระบบ (admin) ของเซิร์ฟเวอร์ที่ได้รับผลกระทบได้สำเร็จ แต่ทีมยังไม่สามารถระบุได้ว่าแฮกเกอร์เข้าถึงสิทธิ์นั้นด้วยวิธีใด ทีมงานยังไม่เปิดเผยจำนวนเงินที่ถูกขโมยรวม หรือจำนวนเซิร์ฟเวอร์ที่ได้รับผลกระทบทั้งหมด

💡 ผู้ให้บริการโฮสติ้งบางราย เช่น LunaNode เริ่มปิดเซิร์ฟเวอร์ BTCPay ของลูกค้าบางส่วนไปล่วงหน้าเพื่อความปลอดภัย — ถ้าเข้าระบบไม่ได้อาจเป็นเพราะโฮสต์ปิดไว้ก่อน ไม่ใช่ถูกแฮก

ใครโดนบ้าง เวอร์ชันไหนเสี่ยง

หลังสอบสวนต่อ ทีม BTCPay Server แถลงผ่าน X อีกครั้งว่าการสอบสวนเจอช่องทางการโจมตีที่พุ่งเป้าไปที่เซิร์ฟเวอร์ซึ่งรันเวอร์ชัน 2.4.1 หรือเก่ากว่า (เวอร์ชัน 2.4.1 ออกเมื่อ 23 กรกฎาคม 2569) และยืนยันว่า “ยังไม่มีรายงานที่น่าเชื่อถือเรื่องฮอตวอลเล็ตถูกกวาดเงินในผู้ใช้ที่รันเวอร์ชันล่าสุด 2.4.7” Dorier ยังระบุว่าเซิร์ฟเวอร์สาธารณะและเดโมของโปรเจกต์เองที่รัน 2.4.7 ไม่ได้ถูกโจมตี

ประเด็น	รายละเอียดที่ยืนยันแล้ว
เวอร์ชันเสี่ยง	2.4.1 (23 ก.ค. 2569) หรือเก่ากว่า
เวอร์ชันปลอดภัย (ยังไม่มีรายงาน)	2.4.7 (ล่าสุด)
สิ่งที่ถูกขโมย	ฮอตวอลเล็ต Bitcoin ที่เชื่อมกับเซิร์ฟเวอร์ (ยังไม่เปิดเผยมูลค่ารวม)
วิธีที่แฮกเกอร์เข้าถึง	ล็อกอินด้วยสิทธิ์ผู้ดูแลระบบได้สำเร็จ — ยังไม่ทราบวิธีเข้าถึงที่แน่ชัด
คำแนะนำทางการ	ปิดเซิร์ฟเวอร์ด้วย `./btcpay-down.sh` จนกว่าจะอัปเดตเป็น 2.4.7 และยืนยันความปลอดภัย

✅ เช็คเวอร์ชันของตัวเองยังไง:

เข้าหน้า Admin ของ BTCPay Server ตัวเอง ดูเลขเวอร์ชันมุมล่างซ้าย หรือหน้า Server Settings
ถ้าต่ำกว่า 2.4.2 → ควรปิดเซิร์ฟเวอร์ก่อน แล้วอัปเดตเป็น 2.4.7 ผ่านหน้า UI หรือคำสั่ง btcpay-update.sh
ย้ายเงินในฮอตวอลเล็ตไปกระเป๋าเย็น (cold storage) ให้เหลือเฉพาะยอดที่ใช้หมุนจริงในแต่ละวัน

ครั้งที่ 2 ในปีเดียว — เคยโดนช่องโหว่ Lightning มาก่อน

นี่ไม่ใช่ครั้งแรกที่ BTCPay Server เจอปัญหาความปลอดภัยในปี 2569 เมื่อเดือนสิงหาคมที่ผ่านมา โปรเจกต์เคยออกเตือนช่องโหว่ที่อนุญาตให้ผู้ไม่หวังดีดึง LND admin macaroon (โทเค็นสิทธิ์ผู้ดูแล Lightning Network) จากเซิร์ฟเวอร์ที่ได้รับผลกระทบ แล้วใช้มันเข้าถึงกระเป๋า Lightning ที่เชื่อมต่ออยู่ ซึ่งแก้ไขแล้วในเวอร์ชัน 2.4.2 — ทีมงานย้ำว่าตอนนั้นกระเป๋าออนเชนปกติไม่ได้รับผลกระทบ ต่างจากครั้งนี้ที่ฮอตวอลเล็ต Bitcoin บนเชนถูกกวาดตรง ๆ

สิ่งที่น่าสนใจคือเหตุการณ์ครั้งนี้เกิดขึ้นเพียง 3 วันหลังจาก BTCPay Server ออกเวอร์ชัน 2.4.7 เมื่อ 29 ตุลาคม ซึ่งแก้ไขช่องโหว่ไปทั้งหมด 85 รายการ (วิกฤต 1 รายการ, ร้ายแรงสูง 13 รายการ, ปานกลาง 52 รายการ, ต่ำ 19 รายการ) ที่ตรวจพบผ่านโครงการสแกนความปลอดภัยโอเพนซอร์สของ Anthropic ซึ่งสะท้อนความเปลี่ยนแปลงสำคัญของยุคนี้ คือ AI ทำให้การค้นหาช่องโหว่ในโค้ดขนาดใหญ่เร็วและถูกลงมาก — ทั้งฝั่งนักพัฒนาที่ใช้แพตช์ช่องโหว่ และฝั่งแฮกเกอร์ที่ใช้หาจุดอ่อนเช่นกัน ทีมงานระบุว่าการเผยแพร่แพตช์ไม่ได้แปลว่าเซิร์ฟเวอร์ที่ผู้ใช้รันเองจะอัปเดตตามทันที ซึ่งเป็นช่องว่างที่แฮกเกอร์ใช้ประโยชน์ได้เสมอ

1

สิงหาคม 2569

ช่องโหว่ LND macaroon โดนขโมยกระเป๋า Lightning — แก้ในเวอร์ชัน 2.4.2

2

29 ตุลาคม 2569

ออกเวอร์ชัน 2.4.7 แก้ช่องโหว่ 85 รายการจากการสแกนของ Anthropic

3

1 พฤศจิกายน 2569

พบฮอตวอลเล็ตถูกกวาดเงินในเซิร์ฟเวอร์เวอร์ชันเก่ากว่า 2.4.2 — เตือนให้ปิดระบบด่วน

มุมไทย — ร้านค้าที่ใช้ BTCPay รับเงินคริปโตต้องทำยังไง

ในไทยมีร้านค้าออนไลน์ ฟรีแลนซ์ และชุมชนนักพัฒนาจำนวนไม่น้อยที่เลือกใช้ BTCPay Server แทนเกตเวย์รับเงินของเอกชน เพราะเป็นโอเพนซอร์สและไม่มีค่าธรรมเนียมตัวกลาง มักรันบน VPS ราคาถูกหรือเซิร์ฟเวอร์ที่บ้านแล้วลืมอัปเดตเป็นเวลานาน ซึ่งเป็นกลุ่มเสี่ยงสูงสุดในเหตุการณ์นี้ เพราะลักษณะช่องโหว่ชี้ไปที่เซิร์ฟเวอร์เวอร์ชันเก่าที่ไม่ได้อัปเดตตามรอบ ต่างจากเหตุแฮก Binance มูลค่า 6.3 พันล้านดอลลาร์เมื่อปลายเดือนตุลาคมที่กระทบตัวกลางรายใหญ่ เหตุการณ์ BTCPay ครั้งนี้กระทบตรงกับผู้ประกอบการรายย่อยที่ดูแลเซิร์ฟเวอร์เอง จึงต้องพึ่งความรอบคอบของตัวเองเต็มที่ ไม่มีตัวกลางรายใหญ่มาช่วยอุดรูรั่วให้

สำหรับร้านค้าไทยที่ใช้งาน BTCPay Server สิ่งที่ควรทำทันทีคือเช็คเวอร์ชันเซิร์ฟเวอร์ตัวเอง หากต่ำกว่า 2.4.2 ให้ปิดระบบชั่วคราวก่อนอัปเดต และย้ายเงินคงเหลือในฮอตวอลเล็ตไปเก็บในกระเป๋าฮาร์ดแวร์หรือกระเป๋าเย็นแทนการปล่อยยอดสะสมไว้นาน ๆ บนเซิร์ฟเวอร์ที่เชื่อมอินเทอร์เน็ตตลอดเวลา

เช็คเวอร์ชัน BTCPay Server ของตัวเองวันนี้เลย ก่อนเปิดรับเงินรอบต่อไป
ต่ำกว่า 2.4.2 → ปิดเซิร์ฟเวอร์ก่อน อย่าปล่อยให้ฮอตวอลเล็ตออนไลน์ค้างไว้
อัปเดตเป็น 2.4.7 ผ่านหน้า UI หรือ btcpay-update.sh แล้วตรวจสอบสิทธิ์ผู้ดูแลระบบซ้ำ
ย้ายเงินส่วนเกินจากยอดหมุนรายวันไปกระเป๋าเย็นเป็นประจำ

คำถามที่พบบ่อย

Q: เงินที่ฝากอยู่ในกระเป๋าเย็น (cold storage) ของ BTCPay Server ปลอดภัยไหม?

A: ตามข้อมูลที่ BTCPay Server เผยแพร่ เหตุการณ์ครั้งนี้กระทบเฉพาะ “ฮอตวอลเล็ต” ที่เชื่อมต่อออนไลน์กับเซิร์ฟเวอร์เท่านั้น กระเป๋าเย็นที่เก็บคีย์ส่วนตัวแบบออฟไลน์ไม่ได้อยู่ในรายงานความเสียหาย

Q: ถ้าอัปเดตเป็นเวอร์ชัน 2.4.7 แล้ว ปลอดภัย 100% เลยไหม?

A: BTCPay Server ระบุว่า “ยังไม่มีรายงานที่น่าเชื่อถือ” สำหรับเวอร์ชันล่าสุด ไม่ได้ยืนยันว่าปลอดภัยสมบูรณ์แบบ 100% เพราะการสอบสวนยังดำเนินอยู่ คำแนะนำคือต้องอัปเดตเป็นเวอร์ชันล่าสุดเสมอ และจำกัดยอดเงินในฮอตวอลเล็ตให้น้อยที่สุด

Q: ถ้าสูญเงินจากเหตุการณ์นี้ต้องทำยังไง?

A: BTCPay Server ขอให้ผู้เสียหายส่งรายละเอียดธุรกรรมและที่อยู่กระเป๋าออนเชนไปที่ [email protected] พร้อมแจ้งความกับตำรวจในพื้นที่ และมีกองทุนรางวัลนำเงินกลับคืน (recovery bounty) 10% ของมูลค่าที่กู้คืนได้ สูงสุด 3 BTC หากกู้คืนได้ครบ

ที่มา: BTCPay Server Foundation official blog, crypto.news, Bitcoin.com News

⚠️ คำเตือน: บทความนี้เป็นการรายงานข่าวและความรู้เพื่อการศึกษา ไม่ใช่คำแนะนำในการลงทุน (NFA) การดูแลความปลอดภัยของสินทรัพย์ดิจิทัลเป็นความรับผิดชอบของผู้ใช้งานแต่ละคน ควรอัปเดตซอฟต์แวร์และศึกษาข้อมูลเพิ่มเติมก่อนใช้งานเสมอ