Proyek sumber terbuka BTCPay Server, perangkat lunak pemroses pembayaran kripto yang dijalankan sendiri oleh pedagang, memperingatkan pada 1 November 2026 bahwa dompet panas (hot wallet) di sejumlah server dikuras. Bitcoin dan Litecoin dilaporkan dicuri. BTCPay menyebut server versi 2.4.1 dan yang lebih lama sebagai yang terdampak.
Apa yang dilaporkan BTCPay Server
Menurut catatan insiden BTCPay, pengurasan dompet tercatat pukul 13.46 UTC pada 1 November, dan laporan pencurian pertama masuk lewat surel pukul 20.56 UTC. Pukul 22.25 UTC, proyek meminta operator mematikan server lewat akun X mereka. Pada 2 November, BTCPay menerbitkan pembaruan yang menyebut versi 2.4.1 (rilis 23 Juli 2026) dan sebelumnya terdampak, sedangkan server yang sudah memakai 2.4.2 atau lebih baru tidak menunjukkan dampak. Dana yang kunci pembelanjaannya disimpan di luar server, termasuk di hardware wallet, tidak terpengaruh.
Penyebabnya belum jelas. BTCPay menyatakan penyerang memakai cara yang berbeda dari celah yang ditambal di versi 2.4.2 (rilis 7 Agustus 2026), tanpa menjelaskan detailnya, dan belum menyebut nomor CVE. BleepingComputer melaporkan pengembang utama Nicolas Dorier masih menelusuri bagaimana penyerang bisa masuk sebagai administrator di instans lama. Total kerugian dan jumlah korban belum diumumkan. BTCPay juga meminta penyedia VPS, termasuk LunaNode, mematikan instans terdampak sebagai langkah pencegahan. Versi 2.4.7 dirilis sebagai pembaruan darurat setelah celah kritis diungkap pada 29 Oktober, dan proyek mengaku belum menerima laporan kredibel pengurasan dompet pada versi itu.
Langkah yang perlu diambil operator
Periksa versi di bagian bawah halaman BTCPay Anda. Jika 2.4.1 atau lebih lama, BTCPay meminta Anda pindah ke server baru, bahkan bila tidak ada pencurian dan bahkan bila Anda sudah memperbarui setelah peringatan 1 November. Buat dompet baru dengan seed baru di perangkat tepercaya, lalu pindahkan sisa dana ke sana. Jangan memakai ulang seed lama.
Matikan server lama dan simpan log serta catatan transaksinya untuk penyelidikan. Pasang rilis terbaru dari sumber tepercaya di mesin virtual baru, jangan memulihkan server lama secara utuh. Dari perangkat tepercaya, ganti kredensial yang bisa dijangkau server lama, seperti akses hosting, SSH, aplikasi, API, dan Lightning. Korban dapat menulis ke [email protected] dengan menyertakan versi BTCPay, waktu kejadian, dan ID transaksi publik. Jangan mengirim seed, kunci privat, atau kata sandi, dan laporkan kehilangan dana ke pihak berwenang setempat.
Dampak bagi pembaca
Siapa pun di Indonesia yang menjalankan BTCPay Server sendiri, termasuk di VPS, perlu memeriksa versinya hari ini. BTCPay menyarankan hanya menyimpan dana operasional di dompet panas dan menaruh sisanya di dompet yang kuncinya tidak berada di server. Kasus ini muncul di tengah rangkaian pencurian kripto lain pekan ini, seperti dugaan penyusupan skrip pihak ketiga di Polymarket.
Sumber: BTCPay Server, BleepingComputer, dan The Hacker News. Gambar: BTCPay Server.