Jika Anda menjalankan server pembayaran $Bitcoin, berhentilah membaca setelah kalimat ini dan matikan server tersebut. BTCPay Server, processor pembayaran Bitcoin self-hosted yang paling banyak digunakan, telah mengonfirmasi bahwa penyerang sedang menyita dompet panas pada instalasi lama dan meminta setiap operator untuk menonaktifkan instansinya hingga penyelidikan selesai.
Apa yang terjadi pada BTCPay Server?
Malam Sabtu, 1 November, tim BTCPay Server memposting peringatan darurat: mereka menerima laporan bahwa dompet panas yang terhubung ke instansi BTCPay telah dikosongkan oleh penyerang yang tidak berwenang. Instruksinya tegas. Matikan server Anda dengan skrip ./btcpay-down.sh dan tunggu.
Pada hari Minggu, tim respons insiden telah mempersempit vektor serangan. Menurut proyek tersebut, instalasi yang terdampak menjalankan versi 2.4.1, yang dirilis pada 23 Juli 2026, atau yang lebih lama. Tidak ada laporan kredibel mengenai dompet yang dikosongkan pada rilis 2.4.7 saat ini.
Co-founder Nicolas Dorier menambahkan detail yang mengkhawatirkan: penyerang berhasil masuk ke instance yang terdampak dengan hak administrator. Cara akses tersebut diperoleh masih belum diketahui. Server publik milik proyek itu sendiri, yang menjalankan 2.4.7, tidak terkena dampak.
Berapa banyak bitcoin yang dicuri dalam serangan BTCPay?
Belum ada yang tahu, dan BTCPay Server belum merilis angka resmi. Tim belum mengungkapkan berapa banyak server yang dikompromikan atau berapa banyak operator yang melaporkan kerugian. Pengguna yang terdampak diminta mengirimkan detail insiden dan log server ke tim keamanan agar investigasi dapat menentukan skala kejadian.
Penyedia hosting bergerak cepat. LunaNode dan lainnya mulai menutup instance lama secara otomatis, jadi jika dasbor BTCPay Anda tiba-tiba menjadi gelap akhir pekan lalu, itulah penyebabnya.
Apakah ini kerentanan BTCPay yang sama seperti pada Agustus?
Tidak tepat, tetapi polanya familiar. Pada Agustus, BTCPay Server memperingatkan adanya kelemahan yang aktif dieksploitasi yang memungkinkan penyerang mengambil kredensial administrator LND dan mengakses dompet Lightning yang terhubung. Kerentanan tersebut telah diperbaiki di versi 2.4.2, dan proyek tersebut menawarkan hadiah pemulihan sebesar 10 persen dari dana yang dipulihkan, dengan batas maksimal 3 BTC.
Kelemahan Agustus secara eksplisit tidak menyentuh dompet panas di rantai. Yang ini melakukannya. Dan ini muncul enam minggu setelah Core Lightning memperingatkan bahwa penyerang sedang memburu node Lightning yang lebih lama dan belum diperbarui. Pesan dari tiga insiden terpisah dalam tiga bulan adalah sama: infrastruktur pembayaran bitcoin yang tidak diperbarui sedang dipindai dan diserang secara aktif.
Apa yang harus dilakukan operator BTCPay Server sekarang?
- Matikan instance hingga BTCPay Server memberikan sinyal aman, meskipun Anda menggunakan versi terbaru. Proyek menyatakan bahwa 2.4.7 tidak terdampak, tetapi akar penyebab login admin belum diketahui.
- Periksa saldo dompet panas Anda dan pindahkan sisa saldo ke penyimpanan dingin. BTCPay telah lama merekomendasikan untuk hanya menyimpan dana operasional di dompet panas.
- Simpan log Anda. Jika Anda melihat transaksi yang tidak dapat dijelaskan, jangan menghapus server. Kirim log tersebut ke tim keamanan BTCPay.
- Perbarui sebelum Anda mulai ulang. Saat Anda menghidupkan kembali instance, gunakan versi 2.4.7 atau rilis patch berikutnya.
- Putar kredensial untuk setiap akun admin di server, dan untuk setiap layanan yang membagi kata sandi dengannya.