Saldırganlar, güncel olmayan BTCPay Sunucu örneklerine yönetici erişimi kazandı ve sıcak cüzdanlarını boşalttı; izler, Ağustos ayı düzeltmesinden önceki hatalara işaret ediyor.
Hasar, güncelleme yapmayan operatörleri etkiliyor ve ekip toplam kayıpları henüz açıklamadı. BTCPay Server, satıcıların Bitcoin kabul etmek için kendi sunucularında barındırdığı ücretsiz, açık kaynaklı bir ödeme işlemcisdir. Sıcak cüzdan kurulumunda, sunucu özel anahtarları kendisi saklar ve bu da yazılımın her işlemi operatörün imzalamadan para göndermesini sağlar. Sonuç olarak, böyle bir sunucuya yönetici erişimi olan herkes, onun coinlerini hareket ettirebilir.
Saldırganlar hangi sürümleri hedef aldı?
BTCPay Sunucusu ekibi, 1 Kasım'da geç saatlerde uyarını yükseltti ve araştırmanın sonuna kadar her operatörden örneğini kapatmalarını istedi.
Daha sonra bir takip çalışması kapsamı daralttı. Saldırı vektörü, 23 Temmuz 2026'da yayınlanan 2.4.1 sürümünü ve bundan daha eski tüm sürümleri hedefliyor. Bununla birlikte, ekip şu anda 2.4.7 sürümünde herhangi bir çekimle ilgili güvenilir rapor olmadığını belirtiyor.
Kurucu Nicolas Dorier dedi ki, saldırgan etkilenen sunucularda yönetici olarak giriş yaptı, ancak ekip henüz bunun nasıl yapıldığını belirleyemedi. Şu ana kadar yapılan araştırmada, 2.4.2 sürümünden önceki açıkların izleri bulundu.
Bu ihlal, saldırganların 2.4.2'den daha eski sürümleri çalıştıran BTCPay Server örneklerinden en az üç ay içinde ikinci kez fonları çaldığını gösteriyor. Bu sürüm, Ağustos'ta kritik bir hata düzeltildi ve uzaktan saldırganların Lightning node kimlik bilgilerini ele geçirmesine ve bağlı cüzdanları boşaltmasına izin veriyordu.
Olsa olsa, hata zaten aktif olarak istismar ediliyordu.
Bir BTCPay Server Sıcak Cüzdanı Risk Değerli mi?
Hosting sağlayıcıları da hızla harekete geçti. LunaNode ve diğerleri, eski sürümlere yönelik saldırıları engellemek için müşteri örneklerini otomatik olarak kapatabilir, takım söylüyor.
Dorier, kendi sıcak cüzdanıyla 2.4.7 sürümünü çalıştırıyor. Ancak kurucu, büyük miktarları herhangi bir sunucuda tutmaktan kaçınmayı önerdi.
Sıcak cüzdana kaybetmeye hazır olduğunuzdan daha fazla miktar koymayın. Bu durumun tekrar yaşanmayacağını garanti edemeyiz.
Nicolas Dorier, X
Olay, kendinden barındırılan bitcoin altyapısı boyunca geniş bir desene uyuyor. Core Lightning, saldırganların düzeltme yapılmamış node'ları hedef aldığını son zamanlarda uyardı. Her iki durumda da, hırsızlık öncesinden düzeltme mevcuttu, bu nedenle en zayıf nokta, bir kez BTCPay Server örneği kurup asla güncellemeyen bir operatördü.
BTCPay Sunucunuz Güvenli mi? Sıcak Cüzdan Tükenmesi Araştırması Ne Gösteriyor? ilk olarak BeInCrypto'da yayınlandı.