BTCPay Server mengeluarkan peringatan keamanan mendesak setelah muncul laporan bahwa penyerang memperoleh akses administrator tanpa izin ke instalasi versi lama dan menguras dana dari hot wallet Bitcoin yang terhubung. Apa yang terjadi - Pada 2 November, prosesor pembayaran sumber terbuka tersebut meminta operator untuk segera mematikan instance menggunakan ./btcpay-down.sh sementara tim tanggap insidennya menyelidiki laporan tentang “pengurasan” hot wallet — transfer yang memindahkan seluruh dana yang tersedia dari alamat ke tujuan yang dikendalikan penyerang. - Tim awalnya memperingatkan semua pengguna, lalu mempersempit dugaan vektor serangan ke instance yang menjalankan versi 2.4.1 (dirilis 23 Juli 2026) atau yang lebih lama. Salah satu pendiri, Nicolas Dorier, mengatakan instalasi yang terdampak tampaknya menjalankan rilis sebelum 2.4.2. - BTCPay Server belum mengungkapkan jumlah total dana atau berapa banyak server yang disusupi. Namun, mereka menyatakan tidak ada laporan kredibel tentang pengurasan dompet yang melibatkan rilis 2.4.7 saat ini dan server publik proyek tersebut (yang menjalankan 2.4.7) tidak diserang. Yang diketahui tentang penyusupan - Informasi yang tersedia menunjukkan bahwa penyerang dapat masuk dengan hak administrator pada instance yang terdampak. Tim BTCPay masih menyelidiki bagaimana akses admin diperoleh dan belum memerinci eksploitasi teknisnya kepada publik. - Pembobolan ini secara khusus menargetkan hot wallet — dompet yang terhubung ke internet dan dapat memulai transaksi — sehingga rentan terhadap pencurian langsung jika kredensial atau kendalinya dibobol. Tindakan yang diminta BTCPay Server untuk dilakukan pengguna - Jika Anda menjalankan sebuah instance: segera matikan menggunakan ./btcpay-down.sh sampai penyelidikan selesai. - Jika Anda menjalankan versi lama: perbarui ke rilis terbaru (2.4.7) jika memungkinkan. - Jika Anda yakin server Anda disusupi: simpan log dan kirimkan detail insiden serta log sistem ke security@btcpayserver.org. Latar belakang dan insiden terkait - Ini menyusul insiden pada Agustus ketika BTCPay memperingatkan tentang kerentanan yang sedang dieksploitasi, yang memungkinkan penyerang mengekstrak kredensial macaroon administrator LND dan mengakses dompet Lightning. Celah tersebut tidak memengaruhi dompet on-chain standar. Setelah masalah pada Agustus itu, proyek tersebut menawarkan hadiah pemulihan sebesar 10% dari dana yang berhasil dipulihkan (maksimal 3 BTC) dan memberikan masing-masing 0.21 BTC kepada dua pelapor yang mengungkap kerentanan tersebut. - Peringatan ini juga muncul di tengah serangan lain baru-baru ini terhadap infrastruktur Bitcoin: pada September, Core Lightning memperingatkan adanya upaya mengeksploitasi node Lightning lama yang belum ditambal. Dampak operasional - Beberapa penyedia hosting — termasuk LunaNode dan pihak lain yang diapresiasi BTCPay — telah lebih dulu mematikan instance lama setelah peringatan tersebut. Jika instance Anda dihosting, mungkin saat ini sudah luring sampai penyedia Anda memulihkan layanan atau Anda memperbarui dan menjalankannya kembali. - BTCPay belum menerbitkan daftar host yang terdampak, jumlah server yang luring, ataupun jadwal penyelidikan atau pemulihan dana yang dicuri. Rekomendasi keamanan bagi operator - Selalu perbarui BTCPay Server; tingkatkan ke 2.4.7 jika memungkinkan. - Minimalkan saldo di hot wallet dan pindahkan dana berlebih ke penyimpanan dingin (kunci luring). - Simpan log forensik jika Anda mencurigai adanya penyusupan dan laporkan ke security@btcpayserver.org. - Pertimbangkan kontrol penyedia dan operasional yang mengurangi risiko akses admin tanpa izin (kontrol akses yang kuat, pemantauan, dan paparan seminimal mungkin). Penyelidikan BTCPay masih berlangsung. Proyek tersebut mengimbau operator agar berhati-hati dan segera bertindak sembari berupaya memastikan bagaimana tepatnya penyerang memperoleh akses administrator ke instalasi lama. Kami akan memberikan pembaruan setelah BTCPay merilis detail teknis atau informasi pemulihan lebih lanjut. Baca berita lain yang dibuat AI di: https://app.chaingpt.org/news