Dalam berita Bitcoin hari ini, BTCPay Server, pemroses pembayaran sumber terbuka gratis yang dijalankan sendiri oleh banyak pedagang Bitcoin, meminta setiap operator untuk mematikan instans mereka setelah muncul laporan bahwa para penyerang menguras dompet panas di server pedagang. Kurang dari enam jam kemudian, penyebabnya diketahui adalah perangkat lunak lama.
Pada Senin pukul 04.07 UTC, proyek tersebut menyatakan bahwa penyelidikannya menemukan vektor serangan yang menargetkan server yang menjalankan versi 2.4.1, dirilis pada 23 Juli, atau versi yang lebih lama. Mereka “tidak memiliki laporan yang dapat dipercaya” tentang pengurasan pada versi 2.4.7 saat ini. BTCPay belum mengungkapkan berapa banyak yang dicuri atau berapa banyak toko yang terdampak.
Ini menjadikannya jenis berita Bitcoin yang berbeda dari peretasan Binance pekan lalu. Tidak ada bursa yang dibobol. Sasarannya adalah para pedagang yang mengelola sendiri sistem pembayaran mereka—orang-orang yang seharusnya dilindungi oleh penyimpanan mandiri.
Jadi, siapa yang terdampak, dan apa yang harus dilakukan pemilik toko sekarang?
🚨 Peringatan Keamanan!
Penyerang tanpa izin dilaporkan sedang menguras hot wallet pada instans @BtcpayServer.
Pengguna yang menjalankan instans BTCPay Server disarankan untuk segera mematikannya. pic.twitter.com/H7mXfJLLcD
— Lookonchain (@lookonchain) 2 November 2026
Intelijen Pasar: Analis Keamanan Kripto Merekomendasikan Dompet Kripto Anonim Terbaik
Apa yang Terjadi pada Hot Wallet BTCPay Server?
Seorang penyerang masuk sebagai admin di server versi lama dan menguras hot wallet. BTCPay Server mengeluarkan peringatan pada Minggu pukul 22.25 UTC dan meminta operator menjalankan skrip penonaktifan “sampai penyelidikan kami selesai.”
Dua jam kemudian, pendiri Nicolas Dorier mengatakan server publik milik proyek yang menjalankan versi 2.4.7 tidak diserang. “Penyerang berhasil masuk sebagai admin di instans tersebut, kami masih berusaha mencari tahu caranya,” tulisnya.
Pembaruan berikutnya disampaikan pada pukul 04.07 UTC:
📢 Penyelidikan tanggap insiden kami mengidentifikasi vektor serangan yang menyasar instans yang menjalankan versi 2.4.1 (23 Juli 2026) atau yang lebih lama.
Kami tidak menerima laporan kredibel tentang pengurasan hot wallet pada pengguna yang menjalankan rilis terbaru 2.4.7. Kami kembali mendesak semua orang untuk memastikan BTCPay Server mereka… pic.twitter.com/gYxK4Bb7fc
— BTCPay Server (@BtcpayServer) 2 November 2026
Hot wallet menyimpan kunci penandatanganannya di server itu sendiri, sehingga dapat mengirim pembayaran pengembalian dana dan pencairan secara otomatis. Siapa pun yang memiliki hak admin di server tersebut juga dapat mengirim koin.
Penyedia hosting bergerak cepat. BTCPay berterima kasih kepada LunaNode dan pihak lainnya karena menonaktifkan sendiri instans lama yang mereka hosting, sehingga sebagian pedagang mungkin mendapati toko mereka tidak bisa diakses pada hari Senin.
Riwayat versinya menjelaskan situasi ini. Versi 2.4.1 dirilis pada 23 Juli. Dua minggu kemudian, versi 2.4.2 memperbaiki celah kritis yang menurut tim “sedang dieksploitasi secara aktif,” lalu lima rilis berikutnya menyusul, dengan versi 2.4.7 pada Kamis sebagai rilis terakhir. Versi tersebut memperbaiki 85 temuan dari pemindaian keamanan AI yang dilakukan Anthropic untuk proyek ini.
Belum diketahui apakah ini celah yang sama dengan yang terjadi pada Agustus. Dorier mengatakan sebuah tulisan blog yang memuat informasi lebih lanjut akan segera terbit.
Apakah Toko BTCPay Server Anda Terdampak?
Sejauh yang diketahui proyek ini, hanya jika server masih menjalankan versi 2.4.1 atau yang lebih lama. “Bagi mereka yang sudah memperbarui setidaknya sekali sejak rilis 2.4.2, tidak ada alasan untuk panik,” tulis Dorier pada pukul 04.10 UTC.
Yang perlu dilakukan operator sekarang:
Periksa versinya. Versi 2.4.1 atau yang lebih lama harus tetap offline sampai diperbarui.
Perbarui ke versi 2.4.7. Admin dapat mengeklik Update di bagian Server Settings → Maintenance. Instalasi Docker menjalankan skrip btcpay-update.sh melalui SSH, sedangkan pengguna Umbrel atau Start9 memasangnya dari platform masing-masing, sesuai panduan BTCPay.
Batasi saldo hot wallet. Saran Dorier sendiri: “jangan menyimpan terlalu banyak di Hot Wallet.” Pindahkan hasil penjualan ke penyimpanan dingin dan sisakan hanya dana yang diperlukan untuk pengembalian dana.
Laporkan jika dana terkuras. Korban diminta mengirimkan detail dan log ke security@btcpayserver.org.
Semua pengurasan yang dilaporkan menimpa hot wallet. Toko yang menerima dana ke dompet hanya-pantau sama sekali tidak menyimpan kunci penandatanganannya di server.
SIMAK: Peretas Binance Menyimpan Bitcoin Senilai $1,4 Miliar, Tiga Kali Lipat Pembelian ETF Selama Sepekan
Apakah Berita Bitcoin Ini Menggerakkan Harga BTC?
Tidak. Saat peringatan itu dikeluarkan, BTC berada di $77.890 dan diperdagangkan di Binance pada harga $78.102 pukul 07.40 UTC hari Senin, naik 0,3% dalam sehari. Pasar masih mencerna peretasan Binance pekan lalu.
Peretasan itu menjadi batas bawah. Bitcoin turun ke $76.326 pada 30 Oktober, tepat di EMA 200 hari (rata-rata bergerak eksponensial), yang kini berada di $76.512, dan pembeli berhasil mempertahankan harga di atasnya selama tiga hari. Di atasnya, EMA 50 hari di $80.293 kini menjadi penghalang, sementara $81.971—harga tertinggi 29 Oktober sebelum peretasan—membatasi kisaran harga.
Indeks Fear & Greed berada di angka 37, menandakan rasa takut, dan BTC turun 2,5% dalam sepekan.
5 Agustus hingga 2 November 2026: grafik BTCUSDT 1D. Sumber: TradingView
Prospek | Level pemicu | Level yang perlu diperhatikan Pemulihan | Penutupan harian di atas $80.293 | $81.971, harga tertinggi 29 Oktober Pergerakan tertahan | Bertahan di antara $76.326 dan $80.293 | Kisaran di antara kedua EMA Aksi jual | Penutupan harian di bawah $76.326 | $74.968, harga terendah 15 September
Intelijen Pasar: Analis Kripto Memprediksi Kripto Berkapitalisasi Kecil Terbaik
berikutnya
Artikel BTCPay Server Meminta Pedagang Mematikan Layanan Setelah Penyerang Menguras Hot Wallet: Apakah Pembayaran Masih Aman? pertama kali diterbitkan di Coinspeaker.