Penyerang berhasil mendapatkan akses admin ke BTCPay Server versi lama dan menyapu habis hot wallet mereka, dan jejak digital mengarah ke celah yang sudah ada sebelum patch bulan Agustus.
Kerugian ini menimpa operator yang belum pernah melakukan pembaruan, dan tim BTCPay Server masih belum mengumumkan total kerugian. BTCPay Server sendiri adalah prosesor pembayaran gratis dan open-source yang para merchant kelola sendiri untuk menerima Bitcoin. Di skema hot wallet, server tersebut menyimpan private key sehingga software bisa mengirim dana tanpa operator perlu menandatangani setiap transaksi. Akibatnya, siapa saja yang mendapat akses admin ke server seperti ini bisa memindahkan koin di dalamnya.
Versi Mana yang Jadi Target Serangan?
Tim BTCPay Server pertama kali mengumumkan peringatan pada akhir 1 November. Mereka meminta semua operator untuk mematikan BTCPay Server mereka sampai penyelidikan selesai.
Pemberitahuan berikutnya kemudian memperjelas ruang lingkup kasus ini. Celah keamanan menargetkan versi 2.4.1, yang dirilis pada 23 Juli 2026, dan semua versi yang lebih lama. Sementara itu, tim menyatakan mereka belum menerima laporan kredibel terkait serangan pada versi 2.4.7 yang saat ini masih digunakan.
Pendiri Nicolas Dorier mengungkap bahwa penyerang berhasil masuk sebagai admin ke server yang terdampak, meski hingga kini tim masih belum mengetahui bagaimana cara mereka melakukannya. Sampai saat ini, hasil investigasi menemukan jejak kerentanan yang sudah ada sejak sebelum versi 2.4.2.
Peretasan ini menjadi setidaknya kasus kedua dalam tiga bulan terakhir di mana penyerang berhasil mencuri dana dari BTCPay Server yang menjalankan versi sebelum 2.4.2. Versi tersebut menambal celah kritis pada bulan Agustus, di mana penyerang jarak jauh bisa mendapatkan kredensial Lightning node dan menguras wallet yang terhubung.
Bahkan saat itu, celah ini sudah disalahgunakan secara aktif.
Apakah Hot Wallet di BTCPay Server Layak Dicoba?
Penyedia hosting juga bergerak cepat. LunaNode dan penyedia lain mungkin telah mematikan layanan BTCPay milik pelanggan secara otomatis untuk mencegah serangan pada versi lama, papar tim BTCPay Server.
Dorier sendiri menggunakan versi 2.4.7 dengan hot wallet. Meski begitu, sang pendiri tetap memperingatkan agar tidak menyimpan dana besar di server mana pun.
Jangan simpan lebih dari yang siap kamu relakan di hot wallet. Kami tidak bisa menjamin kejadian seperti ini tidak terulang lagi.
Nicolas Dorier, X
Insiden ini sejalan dengan pola yang lebih luas di dunia infrastruktur Bitcoin yang di-hosting sendiri. Core Lightning baru-baru ini memperingatkan bahwa penyerang mengincar node yang belum ter-update. Di kedua kasus, solusi sebenarnya sudah ada sebelum pencurian terjadi, sehingga titik lemahnya ada pada operator yang hanya menginstal BTCPay Server lalu tidak pernah memperbaruinya.
