BTCPay Server, pemroses pembayaran Bitcoin open-source yang dijalankan sendiri oleh banyak pedagang, meminta seluruh operator mematikan instance mereka pada Minggu malam waktu UTC setelah laporan peretas menguras hot wallet di server pedagang. Kurang dari enam jam kemudian, proyek itu menyebut penyebabnya adalah perangkat lunak lama. Investigasi menemukan vektor serangan yang menyasar server versi 2.4.1 (dirilis 23 Juli 2026) atau lebih lama, tanpa laporan kredibel untuk versi terbaru 2.4.7.
Apa yang Terjadi pada Hot Wallet BTCPay Server?
BTCPay Server menaikkan alarm pada 22:25 UTC Minggu dan meminta operator menjalankan skrip penonaktifan “sampai kami menyelesaikan investigasi.” Menurut laporan, penyerang masuk sebagai admin di server lama dan mengosongkan hot wallet. Hot wallet menyimpan kunci penandatanganan di server itu sendiri, sehingga dapat membayar refund dan payout secara otomatis. Namun, siapa pun dengan hak admin di server tersebut juga dapat mengirim koin.
Dua jam kemudian, pendiri Nicolas Dorier mengatakan server publik proyek yang berjalan di 2.4.7 tidak diserang. “Penyerang berhasil masuk sebagai admin di instance tersebut, kami masih mencoba mencari tahu bagaimana caranya,” tulisnya. Pada 04:07 UTC Senin, BTCPay mengatakan investigasi respons insiden mengidentifikasi vektor serangan yang menyasar instance versi 2.4.1 (23 Juli 2026) atau lebih lama. Proyek itu tidak memiliki “laporan kredibel” soal pengurasan hot wallet pada pengguna versi terbaru 2.4.7. BTCPay belum mengungkap berapa dana yang dicuri atau berapa banyak toko yang terkena.
Tidak ada bursa yang dibobol. Targetnya adalah pedagang yang menjalankan tumpukan pembayaran sendiri, kelompok yang hendak dilindungi oleh self-custody. Penyedia hosting bergerak cepat. BTCPay berterima kasih kepada LunaNode dan lainnya karena mematikan instance hosted lama atas inisiatif sendiri, sehingga sebagian pedagang mungkin mendapati toko mereka offline pada Senin.
Siapa yang Terpapar dan Apa Langkah Pengamannya?
Riwayat versi menjadi kunci. 2.4.1 dirilis 23 Juli. Dua minggu kemudian, 2.4.2 memperbaiki cacat kritis yang menurut tim “sedang dieksploitasi secara aktif”, dan lima rilis lagi menyusul, berakhir dengan 2.4.7 pada Kamis yang memperbaiki 85 temuan dari pemindaian keamanan AI yang dijalankan Anthropic untuk proyek tersebut. Apakah ini lubang yang sama dengan Agustus masih terbuka. Dorier mengatakan posting blog dengan detail lebih lanjut akan menyusul.
Menurut pengetahuan proyek sejauh ini, paparan hanya terjadi jika instance masih menjalankan 2.4.1 atau lebih lama. “Bagi mereka yang sudah memperbarui setidaknya sekali sejak rilis 2.4.2, tidak ada alasan panik,” tulis Dorier pada 04:10 UTC.
Langkah yang diminta operator:
- Periksa versi. Apa pun yang berada di 2.4.1 atau di bawahnya harus tetap offline sampai diperbarui.
- Perbarui ke 2.4.7. Admin dapat mengklik Update di Server Settings → Maintenance. Instalasi Docker menjalankan skrip btcpay-update.sh lewat SSH, sedangkan pengguna Umbrel atau Start9 memasangnya dari platform masing-masing sesuai panduan BTCPay.
- Jaga hot wallet tetap tipis. Saran Dorier: “jangan simpan terlalu banyak di Hot Wallet.” Sapu hasil penjualan ke cold storage dan sisakan hanya yang dibutuhkan untuk refund.
- Laporkan pengurasan. Korban diminta mengirim detail dan log ke security@btcpayserver.org.
Semua laporan pengurasan yang disebut BTCPay mengenai hot wallet. Toko yang menerima pembayaran ke watch-only wallet menyimpan kunci penandatanganan di luar server sepenuhnya.
Apakah Insiden Ini Menggerakkan Harga Bitcoin?
Tidak. BTC berada di $77.890 saat peringatan dikeluarkan dan diperdagangkan di $78.102 di Binance pada 07:40 UTC Senin, naik 0,3% dalam sehari. Pasar masih mencerna peretasan Binance pekan lalu.
Peretasan Binance menjadi lantai. Bitcoin turun ke $76.326 pada 30 Oktober, tepat di EMA 200 hari yang kini berada di $76.512, dan pembeli bertahan di atasnya selama tiga hari. Di atas, EMA 50 hari di $80.293 menjadi hambatan, dan $81.971, level tertinggi 29 Oktober sebelum peretasan, membatasi rentang. Indeks Fear & Greed membaca 37, fear, dan BTC turun 2,5% dalam sepekan.
Proyeksi level yang diperhatikan:
- Rebound: penutupan harian di atas $80.293; target $81.971, level tertinggi 29 Oktober.
- Bertahan: bergerak antara $76.326 dan $80.293; rentang di antara dua EMA.
- Aksi jual: penutupan harian di bawah $76.326; target $74.968, level terendah 15 September.
Bagi pedagang, insiden ini menunjukkan pentingnya pembaruan perangkat lunak dan pengelolaan hot wallet. Proyek belum merinci skala kerugian, tetapi risiko yang diketahui sejauh ini terkonsentrasi pada instance versi lama.
