BTCPay Server mengungkap vektor serangan yang menargetkan instans versi 2.4.1 yang dirilis pada 23 Juli 2026 atau lebih lama, menyusul laporan penyapuan hot wallet oleh penyerang tak berwenang. Platform pemroses pembayaran kripto open-source itu menyatakan tidak memiliki laporan kredibel tentang pengurasan hot wallet yang menimpa pengguna versi terbaru 2.4.7. Tim juga meminta pengguna memperbarui instans dan mengirimkan seluruh detail serta log ke security@btcpayserver.org.
Vektor Serangan pada Versi Lama
Dalam investigasi setelah laporan penyapuan hot wallet, BTCPay Server mengidentifikasi vektor serangan yang menyasar instans versi 2.4.1 yang dirilis pada 23 Juli 2026 atau versi lebih lama. Menurut platform tersebut, tidak ada laporan kredibel soal pengurasan hot wallet pada pengguna yang menjalankan rilis terbaru 2.4.7.
BTCPay Server sebelumnya mengimbau pengguna mematikan instans mereka sampai investigasi selesai. Tim kini meminta semua orang menjaga instans BTCPay Server tetap diperbarui dan meminta pengguna terdampak mengirimkan seluruh detail serta log ke security@btcpayserver.org.
Keterangan Pendiri dan Dampak yang Belum Diungkap
Pendiri BTCPay Server, Nicolas Dorier, mengatakan server publik mereka tidak diserang pada versi 2.4.7. Ia menyebut laporan yang beredar tampaknya terkait versi sebelum 2.4.2. “Pembaruan dari saya: server publik kami tidak diserang (pada 2.4.7), tampaknya laporan terkait versi sebelum 2.4.2. Penyerang berhasil masuk sebagai admin pada instans tersebut, kami masih berusaha mencari tahu bagaimana… Kami memiliki jejak bahwa kerentanan sebelum 2.4.2 digunakan. Kami akan berkomunikasi lebih lanjut dalam pos blog berikutnya,” kata Dorier.
Hingga kini, BTCPay Server belum mengungkap berapa banyak dana yang hilang atau berapa banyak server yang terdampak. Platform itu juga belum merinci jumlah pengguna yang menerima dampak dari insiden tersebut.
BTCPay Server adalah pemroses pembayaran Bitcoin yang gratis, self-hosted, dan open-source. Platform ini memungkinkan individu dan pedagang menerima pembayaran Bitcoin dan Lightning Network tanpa bergantung pada perantara pihak ketiga. Pembayaran langsung masuk ke dompet yang terhubung, tanpa biaya berlangganan atau biaya transaksi selain biaya jaringan standar. Platform ini juga menyediakan alat untuk mengelola invoice, pembayaran point-of-sale, kampanye crowdfunding, dan tip.
Konteks Keamanan dan Insiden Sebelumnya
Pengembangan terbaru ini muncul sekitar tiga bulan setelah BTCPay Server mengungkap kerentanan yang dieksploitasi untuk mencuri dana dari sejumlah pengguna. Celah tersebut memungkinkan penyerang memperoleh kredensial LND admin macaroon dari instans terdampak dan menggunakannya untuk mengakses dompet LND yang terhubung.
Insiden ini juga terjadi beberapa hari setelah peretasan Binance, ketika seorang pengeksploitasi menguras lebih dari $6 miliar aset kripto. Peretasan itu disebut sebagai eksploitasi terbesar dalam sejarah kripto dan diatribusikan oleh FBI serta analis keamanan kepada TraderTraitor, kelompok perang siber yang disponsori negara dan terkait Korea Utara.
Dengan belum adanya pengungkapan jumlah kerugian dan server terdampak, BTCPay Server menekankan pembaruan instans serta permintaan log dari pengguna terdampak sebagai langkah utama. Dorier menyatakan komunikasi lanjutan akan disampaikan melalui pos blog berikutnya.
