Eğer bir $Bitcoin ödeme sunucusu işletiyorsanız, bu cümleden sonra okumayı durdurun ve sunucuyu kapatın. BTCPay Server, en çok kullanılan kendi sunucuda barındırılan bitcoin ödeme işlemcisi, saldırganların daha eski kurulumlarda sıcak cüzdanları boşalttığını doğruladı ve araştırmanın tamamlanana kadar her operatöre örneğini çevrimdışı bırakmasını istedi.
BTCPay Server'da ne oldu?
Cumartesi, 1 Kasım gecesi, BTCPay Server ekibi bir acil uyarı yayınladı: BTCPay örneklerine bağlı sıcak cüzdanların yetkisiz saldırganlar tarafından boşaltıldığı raporları alındığını bildirdi. Talimat açık ve netti: Sunucunuzu ./btcpay-down.sh betiğiyle kapatın ve bekleyin.
Pazar günü olay yanıtlama ekibi saldırı vektörünü daralttı. Projeye göre, etkilenen kurulumlar 23 Temmuz 2026'da yayınlanan 2.4.1 sürümünü veya daha eski sürümleri çalıştırmaktadır. Şu anki 2.4.7 sürümünde cüzdanların boşaltıldığına dair güvenilir raporlar yoktur.
Kurucu ortak Nicolas Dorier, saldırganın etkilenen örneklerde yönetici yetkileriyle giriş yaptığını endişe verici bir ayrıntı olarak ekledi: Bu erişimin nasıl sağlandığı hâlâ bilinmiyor. 2.4.7 sürümünü çalıştıran projenin kendi genel sunucuları etkilenmedi.
BTCPay hainde kaç bitcoin çalındı?
Henüz kimse bilmiyor ve BTCPay Server bir rakam yayınlamadı. Takım, kaç sunucunun ele geçirildiğini veya kaç operatörün kayıplarını bildirdiğini açıklamadı. Etkilenen kullanıcılar, soruşturmanın ölçeğini belirleyebilmesi için olay detaylarını ve sunucu günlüklerini güvenlik ekibine göndermeleri isteniyor.
Barındırma sağlayıcıları hızlı harekete geçti. LunaNode ve diğerleri eski örnekleri otomatik olarak kapatmaya başladı, bu yüzden BTCPay panonuz hafta sonu aniden karanlığa büründüyse, bunun nedeni budur.
Bu, Ağustos'taki aynı BTCPay zafiyeti mi?
Tam olarak değil, ancak desen tanıdık. Ağustos'ta BTCPay Server, saldırganların LND yönetici kimlik bilgilerini çalıp bağlı Lightning cüzdanlara erişmesine izin veren aktif olarak istismar edilen bir hata hakkında uyarıda bulundu. Bu hata 2.4.2 sürümünde düzeltilmiş ve proje, geri kazanılan fonların %10'una kadar, maksimum 3 BTC olacak şekilde bir kurtarma ödüyü ilan etti.
Ağustos hatası açıkça zincir üstü sıcak cüzdanlara dokunmadı. Bu ise dokundu. Ve Core Lightning, saldırganların güncellenmemiş eski Lightning node'larını aradığını uyarısından altı hafta sonra geldi. Üç ay içinde üç ayrı olaydan gelen mesaj aynı: Güncellenmeyen Bitcoin ödeme altyapısı aktif olarak taranıyor ve saldırıya uğruyor.
BTCPay Sunucusu operatörlerinin şu anda ne yapması gerekir?
- BTCPay Server tüm temizliği verene kadar örneği kapatın, son sürümde olsanız bile. Proje, 2.4.7'nin etkilenmediğini söylüyor, ancak yönetici girişiyle ilgili kök neden bilinmiyor.
- Sıcak cüzdan bakiyelerinizi kontrol edin ve kalan miktarları soğuk depolamaya taşıyın. BTCPay, sıcak cüzdanlarda yalnızca işletim akışını tutmayı uzun süredir önermektedir.
- Günlüklerinizi koruyun. Açıklanamayan işlemler görürseniz sunucuyu silmeyin. Günlükleri BTCPay güvenlik ekibine gönderin.
- Yeniden başlatmadan önce güncelleyin. Örneği tekrar başlatırken, 2.4.7 veya bunu takip eden herhangi bir düzeltme sürümünü kullanın.
- Sunucudaki her yönetici hesabı ve aynı şifreyi paylaşan her hizmet için kimlik bilgilerini değiştirin.