BTCPay Server telah memperingatkan para pedagang dan operator sistem pembayaran yang di-host sendiri agar mematikan server mereka setelah muncul laporan bahwa penyerang menguras Bitcoin dari dompet panas yang terhubung.
Pemberitahuan darurat yang diterbitkan oleh akun resmi proyek tersebut sekitar pukul 22.25 UTC pada 1 November 2026, menginstruksikan para operator untuk mematikan instans BTCPay Server mereka sementara para pengembang menyelidiki dugaan peretasan yang dilaporkan.
Insiden ini menimbulkan kekhawatiran bagi para pedagang yang menggunakan infrastruktur pembayaran Bitcoin yang di-host sendiri untuk menghindari perantara pembayaran konvensional. Insiden ini juga menyoroti tantangan keamanan bagi perangkat lunak sumber terbuka: perbaikan kerentanan hanya melindungi instalasi yang benar-benar menerima dan menerapkan pembaruan.
Saat laporan awal diterbitkan, pengembang belum mengonfirmasi jumlah Bitcoin yang dicuri, jumlah pedagang yang terdampak, atau cara penyerang pertama kali memperoleh akses.
Pengembang Meminta Operator Menonaktifkan Server BTCPay
Pesan darurat proyek tersebut melaporkan bahwa hot wallet yang terhubung ke instalasi BTCPay Server sedang dikuras oleh penyerang tanpa izin.
Operator diminta menghentikan instans mereka menggunakan perintah ./btcpay-down.sh sampai penyelidik dapat memastikan cakupan dan penyebab insiden.
Kontributor inti Uncle Rockstar Developer mempertegas peringatan tersebut, menyebutnya sebagai situasi darurat dan meminta operator yang menggunakan hot wallet untuk mematikan server mereka.
BTCPay Server adalah perangkat lunak pembayaran sumber terbuka yang memungkinkan pedagang menerima Bitcoin secara langsung tanpa bergantung pada pemroses pembayaran konvensional. Bisnis dapat menghosting perangkat lunak ini sendiri dan mempertahankan kendali atas infrastruktur pembayaran serta pengaturan wallet mereka.
Model ini memberikan kemandirian operasional yang lebih besar, tetapi juga menempatkan tanggung jawab atas pemeliharaan server, pembaruan perangkat lunak, dan keamanan wallet pada operator.
Nicolas Dorier Menyoroti Versi Perangkat Lunak yang Lebih Lama
Pendiri BTCPay Server, Nicolas Dorier, kemudian membagikan temuan awal yang mengarahkan penyelidikan pada instalasi versi lama.
Menurut Dorier, penerapan yang terdampak menjalankan versi yang dirilis sebelum 2.4.2. Penyerang dilaporkan memperoleh akses administrator, sementara jejak forensik mengarah pada kerentanan yang terdapat dalam rilis-rilis sebelumnya tersebut.
Dorier juga menyatakan bahwa server publik dan server demonstrasi yang menjalankan versi 2.4.7 tidak diserang.
Pembedaan ini penting karena tidak menunjukkan bahwa rilis terbaru merupakan sumber yang tampak dari kompromi yang dilaporkan. Namun, pengamatan tersebut tidak boleh ditafsirkan sebagai bukti bahwa setiap instalasi yang menjalankan versi 2.4.7 kebal terhadap serangan.
Penyelidik belum menerbitkan penjelasan teknis lengkap, sehingga titik masuk yang tepat dan hubungan antara pencurian yang dilaporkan dengan kelemahan yang telah diungkapkan sebelumnya masih belum diketahui.
Kerentanan Lightning Network Sebelumnya Menambah Konteks
Penyelidikan ini juga kembali menyoroti masalah keamanan BTCPay Server terpisah yang diungkapkan pada Agustus.
Kerentanan tersebut memungkinkan penyerang tanpa autentikasi memperoleh kredensial macaroon Lightning Network Daemon (LND). Kredensial ini berfungsi sebagai token otorisasi yang memberikan akses ke operasi Lightning Network tertentu.
Pengembang memperbaiki masalah tersebut pada versi 2.4.2. Saat itu, mereka menyatakan bahwa wallet on-chain BTCPay Server sendiri tidak terpapar melalui kerentanan khusus tersebut.
Belum dipastikan apakah laporan pencurian wallet pada November melibatkan kelemahan yang sama, kerentanan lain yang memengaruhi rilis lama, atau kombinasi beberapa masalah keamanan.
Pembedaan ini penting. Kelemahan yang telah ditambal sebelumnya dapat membantu menjelaskan paparan pada penerapan yang sudah usang, tetapi tidak dapat dianggap sebagai penyebab yang telah dikonfirmasi tanpa laporan forensik yang diterbitkan.
Versi 2.4.7 Memperbaiki 85 Temuan Keamanan Beberapa Hari Sebelum Insiden
Waktu munculnya peringatan darurat menarik perhatian lebih lanjut karena BTCPay Server telah merilis pembaruan keamanan besar hanya tiga hari sebelumnya.
Pada 29 Oktober 2026, proyek tersebut merilis versi 2.4.7 setelah menerima laporan kerentanan yang dihasilkan melalui inisiatif pemindaian keamanan sumber terbuka Anthropic.
Pembaruan tersebut menangani 85 temuan yang dilaporkan, dengan rincian sebagai berikut:
1 kritis
13 berkeparahan tinggi
52 berkeparahan sedang
19 berkeparahan rendah
Temuan tersebut muncul di tengah meluasnya riset kerentanan yang dibantu AI. Pada 2026, sistem yang dikembangkan Anthropic, OpenAI, dan Google menunjukkan kemampuan yang semakin canggih dalam mengidentifikasi potensi kelemahan perangkat lunak.
Inisiatif pemindaian Anthropic melaporkan lebih dari 29.000 kandidat kerentanan selama enam bulan, meskipun hanya sebagian yang menjalani peninjauan manual.
Insiden BTCPay Server menunjukkan perbedaan antara menemukan kerentanan dan mengamankan perangkat lunak yang sudah berjalan di lingkungan produksi. Sebuah proyek dapat menerbitkan perbaikan, tetapi server yang dioperasikan secara independen tidak diperbarui secara otomatis.
Instalasi yang masih menggunakan rilis lama dapat terus membuat pengguna terpapar kelemahan yang telah ditangani oleh pengembang.
Pedagang Menonaktifkan Infrastruktur Pembayaran
Peringatan tersebut mendorong sejumlah bisnis, termasuk Coincards, untuk menonaktifkan instalasi BTCPay Server.
Bagi pedagang, keputusan ini menimbulkan pertimbangan operasional yang harus segera diambil. Menjaga server pembayaran tetap tersedia mendukung transaksi normal, tetapi membiarkan hot wallet yang mungkin telah disusupi tetap terhubung dapat membuat dana rentan terhadap transfer tanpa izin lebih lanjut.
Dorier juga kembali menekankan pentingnya membatasi saldo hot wallet hanya pada jumlah yang sanggup ditanggung operator jika hilang.
Hot wallet terhubung ke sistem daring dan umumnya digunakan untuk transaksi rutin. Kemudahan aksesnya membuat wallet ini berguna untuk memproses pembayaran, tetapi juga berarti wallet tersebut memerlukan kontrol keamanan yang cermat serta pembatasan jumlah dana yang disimpan di dalamnya.
Karena itu, insiden yang dilaporkan kembali menyoroti paparan wallet, izin akses server, praktik pembaruan, serta pemisahan dana operasional dari cadangan yang lebih besar.
Tantangan Keamanan yang Lebih Luas dalam Pembayaran Kripto yang Dihosting Sendiri
Model BTCPay Server memberi pedagang kendali langsung atas pembayaran Bitcoin, tetapi hosting mandiri tidak menghilangkan kebutuhan akan pengelolaan keamanan yang berkelanjutan.
Operator harus memantau rilis perangkat lunak, menerapkan patch, melindungi kredensial administrator, dan menilai risiko yang terkait dengan wallet yang terhubung. Pembaruan yang tertunda dapat membuat sistem tetap rentan meskipun pengembang telah menyediakan perbaikan.
Riset keamanan yang dibantu AI dapat mempercepat penemuan dan pelaporan kerentanan. Hal ini dapat meningkatkan keamanan perangkat lunak seiring waktu, tetapi juga menambah tekanan bagi para pemelihara dan operator untuk meninjau temuan, merilis perbaikan, dan menerapkan pembaruan dengan cepat.
Tantangan ini sangat relevan bagi infrastruktur sumber terbuka yang digunakan oleh bisnis yang mungkin tidak memiliki tim keamanan khusus. Tanggung jawab untuk menerapkan patch dapat berada di tangan pedagang atau operator layanan masing-masing.
Penyelidikan Berlanjut, Kerugian Belum Dikonfirmasi
Pembaruan yang tersedia tidak mencantumkan perkiraan terkonfirmasi mengenai Bitcoin yang dicuri, jumlah pedagang terdampak yang telah diverifikasi, ataupun keterangan lengkap tentang metode serangan.
Pengembang sedang menyiapkan penjelasan yang lebih lengkap, tetapi pembaruan yang diberikan belum mengumumkan patch khusus untuk insiden ini atau pernyataan resmi bahwa situasi telah aman.
Sampai penyelidik menerbitkan informasi lebih lanjut, hubungan antara pencurian yang dilaporkan, versi perangkat lunak lama, dan kerentanan yang sebelumnya telah diungkapkan masih bersifat sementara.
Pertama kali diterbitkan di CryptosNewss.com