BTCPay Server meminta para operator untuk mematikan instance mereka pada hari Minggu setelah mengetahui bahwa pihak-pihak yang tidak berwenang mengakses dan menguras dompet panas. Dalam pengumuman di X, proyek tersebut meminta semua administrator instance untuk menonaktifkan platform mereka menggunakan perintah shutdown sambil menunggu penyelidikan selesai.
Namun, proyek tersebut belum mengungkap penyebab utama, jumlah server yang terdampak, atau total dana yang dicuri.
BTCPay Server baru-baru ini mengalami dua insiden lainnya
BTCPay Server membagikan di X: “Kami menerima laporan bahwa dompet panas di BTCPay Server sedang dikuras oleh penyerang tanpa izin. Jika Anda menjalankan sebuah instance, harap matikan (./btcpay-down.sh) sampai kami menyelesaikan penyelidikan.”
Karena BTCPay dihosting sendiri, tugas untuk mematikannya sepenuhnya berada di tangan pemilik masing-masing server. Menurut dokumentasinya, fitur dompet panas menyimpan seed langsung di server untuk menandatangani transaksi dan memungkinkan pencairan cepat tanpa bergantung pada perangkat keras eksternal. Sayangnya, kemudahan ini membuat dompet panas jauh lebih rentan daripada penyimpanan dingin.
Dompet panas sangat rentan karena kunci privatnya disimpan di sistem yang terhubung ke internet, sehingga dapat diakses oleh penyerang yang menyusupi infrastruktur dasarnya. Tidak seperti dompet dingin, yang menyimpan kunci penandatanganan secara luring, dompet panas mengutamakan kemudahan dan memungkinkan pedagang memproses transaksi dengan lebih cepat.
Bagi bisnis yang menggunakan BTCPay Server untuk menerima pembayaran Bitcoin, dompet panas yang disusupi dapat membahayakan dana yang ditujukan untuk penyelesaian pembayaran kepada pedagang atau transaksi pelanggan. Karena itu, peringatan terbaru ini menimbulkan pertanyaan tentang bagaimana operator dapat menyeimbangkan kemudahan pembayaran dengan kebutuhan untuk melindungi kunci privat dari akses tanpa izin.
Menanggapi insiden tersebut, Samson Mow, CEO JAN3, perusahaan teknologi BTC, menyarankan: “Menurut saya, prioritasnya adalah membuat SamRock bekerja sama dengan Indra secepatnya agar pengguna BTCPay dapat menerima pembayaran langsung ke Aqua Bitcoin dan menukarnya secara rutin ke penyimpanan dingin.”
Peringatan ini muncul tak lama setelah dua insiden keamanan lain yang menimpa proyek tersebut. Baru beberapa hari lalu, pada 29 Oktober, BTCPay merilis pembaruan darurat (v.2.4.7) untuk mengatasi kerentanan ini dan kerentanan lainnya.
Pada bulan Agustus, penyerang juga mengeksploitasi celah keamanan lain, yang menyebabkan pencurian kunci Lightning Network dan pengurasan beberapa node terkait, termasuk node milik Foundation, produsen dompet perangkat keras. Namun, BTCPay telah meyakinkan penggunanya bahwa dompet on-chain standar dan dompet panas bawaan mereka aman dari serangan ini.
Meski demikian, BTCPay meminta pengguna memperbarui server mereka ke versi 2.4 atau, setidaknya untuk sementara, menonaktifkan instance BTCPay Server mereka sampai pembaruan dapat dilakukan, sehingga mengurangi risiko akses tanpa izin.
Sampai penyelidikan selesai, operator mungkin perlu memeriksa aktivitas server, saldo dompet, dan riwayat transaksi untuk mencari pergerakan yang mencurigakan. Mereka yang menduga dompet panasnya telah disusupi sebaiknya tidak lagi menggunakan kunci penandatanganan yang mungkin telah terekspos.
Insiden ini juga menunjukkan mengapa cadangan harus disimpan dengan aman dan saldo Bitcoin dalam jumlah besar sebaiknya disimpan secara luring, bukan di dompet yang terhubung ke infrastruktur pembayaran.
Coldcard diserang pada bulan Agustus
Pada bulan Agustus, Coldcard, produsen dompet khusus Bitcoin yang populer, juga terkena eksploitasi yang sejauh ini mengakibatkan kerugian terkonfirmasi sedikitnya $116 juta. Menurut CEO Blockaid, Ido Ben-Natan, insiden Coldcard mengungkap kelemahan mendasar dalam kripto: ketergantungan pada kunci privat yang dapat menjadi satu titik kegagalan.
Natan berkata, “Akses ke hal-hal ini pada dasarnya hanya bisa digunakan satu kali. Ada sisi baiknya, yaitu tidak ada orang lain yang bisa masuk dan mengaksesnya. Sisi sulitnya adalah hal itu menjadi satu titik kegagalan.”
Ia menambahkan, “Pelajaran yang bisa diambil adalah bahwa menyimpan aset di suatu tempat lalu melupakannya dan tidak memikirkannya bukanlah solusi yang tepat, karena keamanan terus berkembang. Anda harus terus-menerus waspada, atau menyerahkan proses pengambilan keputusan itu kepada pihak lain.”
Akar eksploitasi ini adalah bug serius pada firmware yang memungkinkan prosedur pembuatan seed dompet pada perangkat Coldcard dirusak. Hal ini menghilangkan faktor pengacakan yang diperlukan untuk membuat dompet yang aman, sehingga penyerang dapat menghitung kunci privat dan menguras Bitcoin dari dompet tersebut. Menurut firma riset K33, lebih dari 7.000 alamat terdampak.
Rata-rata, hampir tiga perempat dana yang dicuri akibat eksploitasi kripto pada paruh pertama 2026 terkait dengan pembobolan kunci privat.
Jangan hanya membaca berita kripto. Pahami isinya. Berlanggananlah ke buletin kami. Gratis.