Penyerang mendapatkan akses admin ke instance BTCPay Server yang usang dan mengosongkan dompet panas mereka, dan jejak menunjukkan adanya kelemahan yang muncul sebelum patch Agustus.
Kerugian jatuh pada operator yang tidak pernah memperbarui, dan tim belum mengungkapkan total kerugian. BTCPay Server adalah processor pembayaran gratis dan sumber terbuka yang dihosting sendiri oleh merchant untuk menerima Bitcoin. Dalam pengaturan hot wallet, server menyimpan kunci pribadi sendiri, yang memungkinkan perangkat lunak mengirim dana tanpa operator menandatangani setiap transaksi. Akibatnya, siapa pun yang memiliki akses admin ke server semacam itu dapat memindahkan koinnya.
Versi Mana yang Menjadi Sasaran Penyerang?
Tim BTCPay Server pertama kali mengangkat alarm pada malam hari tanggal 1 November. Mereka meminta setiap operator untuk mematikan instansinya hingga penyelidikan selesai.
Lanjutan kemudian mempersempit cakupannya. Vektor serangan menargetkan versi 2.4.1, yang dirilis pada 23 Juli 2026, dan versi yang lebih lama. Sementara itu, tim menyatakan tidak memiliki laporan kredibel mengenai penarikan dana pada rilis 2.4.7 saat ini.
Pendiri Nicolas Dorier said bahwa penyerang masuk sebagai admin di server yang terdampak, meskipun tim belum menemukan cara bagaimana hal itu terjadi. Sejauh ini, investigasi menemukan jejak kerentanan yang muncul sebelum versi 2.4.2.
Pelanggaran ini menandai setidaknya kali kedua dalam tiga bulan bahwa penyerang telah mencuri dana dari instance BTCPay Server yang menjalankan versi lebih lama dari 2.4.2. Rilis tersebut memperbaiki kelemahan kritis pada Agustus, yang memungkinkan penyerang jarak jauh mengambil kredensial node Lightning dan mengosongkan dompet yang terhubung.
Meskipun demikian, bug tersebut sudah dieksploitasi secara aktif.
Apakah Dompet Panas BTCPay Server Sepadan dengan Risikonya?
Penyedia hosting juga bertindak cepat. LunaNode dan lainnya mungkin telah menutup instance pelanggan secara otomatis untuk mencegah serangan terhadap versi lama, kata tim.
Dorier menjalankan versi 2.4.7 dengan dompet panas sendiri. Namun, pendiri memperingatkan untuk tidak menyimpan jumlah besar di server mana pun.
Jangan simpan lebih dari yang siap Anda rugikan di dompet panas. Kami tidak dapat menjamin kejadian ini tidak akan terulang.
Nicolas Dorier, X
Insiden ini sesuai dengan pola yang lebih luas di seluruh infrastruktur Bitcoin yang dihosting sendiri. Core Lightning baru-baru ini memperingatkan bahwa penyerang menargetkan node yang tidak diperbarui. Dalam kedua kasus tersebut, solusinya sudah ada sebelum pencurian, sehingga titik terlemah adalah operator yang menginstal instance BTCPay Server sekali dan tidak pernah memperbaruinya.
Pos Apakah BTCPay Server Anda Aman? Apa yang Ditunjukkan Investigasi Penarikan Dompet Panas muncul pertama kali di BeInCrypto.