BTCPay Server, pemroses pembayaran Bitcoin sumber terbuka yang dihosting sendiri, mengonfirmasi bahwa penyerang mencuri mata uang kripto dari dompet panas yang menjalankan versi perangkat lunaknya yang sudah usang. Perusahaan analitik blockchain Bitquery melacak sekitar $1,62 juta dana curian — 18,38 BTC dan 3.405 LTC — melalui 682 transaksi penyapuan terpisah, yang sebagian besar terjadi pada 1 November 2026.
Menurut laporan insiden resmi BTCPay Server, serangan tersebut menargetkan server yang menjalankan versi 2.4.1 atau lebih lama. Para penyerang mengeksploitasi kerentanan yang telah diperbaiki pada versi 2.4.2, yang dirilis pada 7 Agustus 2026, dengan menggunakan metode berbeda dari yang didokumentasikan dalam imbauan keamanan bulan Agustus. Laporan pencurian mulai bermunculan sekitar 1 November, dan pada hari yang sama BTCPay Server memperingatkan para operator melalui X agar mematikan server mereka selagi penyelidikan berlangsung.
Bitquery menemukan bahwa 87% dana yang dicuri berpindah dalam satu gelombang pada 1 November, antara pukul 14.12 dan 22.16 UTC. Sekitar 77% berasal dari 32 transaksi pemindahan dana senilai $10.000 atau lebih, sementara kira-kira separuh dari seluruh transaksi pemindahan bernilai di bawah $100. Transaksi pemindahan paling awal yang dapat dilacak Bitquery terjadi pada dini hari 30 Oktober, kurang dari sehari setelah BTCPay Server merilis versi 2.4.7. Transaksi pemindahan Litecoin dimulai pada 1 November, dan gelombang Bitcoin dimulai dalam waktu satu jam.
BTCPay Server menyatakan bahwa mereka belum menerima laporan kredibel tentang pengurasan dompet panas dari pengguna yang menjalankan rilis terbaru 2.4.7. Mereka mendesak siapa pun yang masih menggunakan versi 2.4.1 atau yang lebih lama untuk beralih ke server baru dengan dompet baru — meskipun tidak ada pencurian yang terdeteksi — karena pembaruan saja tidak dapat mencabut akses yang mungkin telah diperoleh penyerang. Dana di dompet yang kunci untuk membelanjakannya disimpan di luar server, termasuk dompet perangkat keras, tidak terdampak.
Proyek tersebut menerbitkan dua alamat tujuan yang terkait dengan insiden ini dan menyarankan pengguna yang terdampak untuk melaporkan pencurian kepada tim keamanan mereka serta pihak berwenang setempat. Mereka juga menyarankan agar hanya dana yang diperlukan untuk operasional sehari-hari disimpan di dompet panas dan sisanya dipindahkan ke dompet yang kuncinya disimpan secara luring.
Ini bukan nasihat keuangan. Lakukan riset sendiri sebelum mengambil keputusan investasi.