Tim BTCPay Server, perangkat lunak sumber terbuka untuk menerima pembayaran kripto, memperingatkan pada 2 November 2026 bahwa penyerang menguras dompet panas (hot wallet) di instans yang menjalankan versi 2.4.1 atau lebih lama. Bitcoin dan Litecoin dilaporkan berpindah tanpa izin pemilik. Belum ada nomor CVE untuk kasus ini, dan total kerugian belum diumumkan.
Apa yang terjadi dan versi yang terdampak
Menurut catatan insiden BTCPay Server, laporan pencurian mulai masuk pada 1 November. Pada dompet panas, kunci untuk membelanjakan dana tersimpan di server, sehingga siapa pun yang menguasai server bisa memindahkan isinya. Dompet yang kuncinya disimpan di luar server, misalnya dompet perangkat keras, tidak terdampak. Tim juga mengingatkan bahwa sebagian aktivitas di alamat yang dilaporkan sudah ada sebelum pencurian yang diketahui, jadi angka kerugian belum bisa dipastikan.
Cara penyerang masuk belum dikonfirmasi. BleepingComputer mengutip Dorier dari tim BTCPay yang menyebut penyelidikan berfokus pada cara pelaku login sebagai administrator di instans yang lebih tua dari 2.4.2, serta ada petunjuk bahwa celah sebelum versi itu dipakai. BTCPay sudah merilis 2.4.2 pada 7 Agustus 2026 untuk menambal celah yang disebut sudah dieksploitasi. Advisori tersebut menyebut penyerang tanpa autentikasi bisa mengambil berkas kredensial LND (macaroon) dan mengendalikan node Lightning. Tim BTCPay menyatakan pelaku kali ini memakai cara berbeda untuk mengeksploitasi celah yang diperbaiki di 2.4.2.
Versi terbaru, 2.4.7, dirilis sebagai pembaruan darurat setelah sebuah celah kritis diungkap pada 29 Oktober. BleepingComputer menulis celah itu ditemukan lewat pemindai Frontier OSS milik Anthropic. BTCPay menyatakan tidak menerima laporan terpercaya soal pengurasan dompet panas pada pengguna rilis 2.4.7.
Langkah yang perlu diambil operator
Periksa versi di bagian bawah halaman admin. Operator yang menjalankan 2.4.2 atau lebih baru saat peringatan 1 November tidak terlihat terdampak, tetapi tim tetap meminta semua pengguna naik ke 2.4.7 lewat Server Settings, Maintenance, lalu Update. Pengguna Docker menjalankan skrip btcpay-update.sh di direktori btcpayserver-docker.
Bila instans Anda masih 2.4.1 atau lebih lama, atau ada tanda akses tak sah, tim BTCPay menyarankan pindah ke server baru. Buat dompet baru dengan seed baru di perangkat tepercaya, sapu sisa dana ke dompet itu, matikan server lama dan simpan lognya, lalu pasang VM baru dengan rilis terbaru tanpa memulihkan server lama. Ganti semua kata sandi dan kunci yang mungkin terpapar, termasuk akses hosting, SSH, aplikasi, API, dan Lightning. Simpan hanya dana operasional di dompet panas.
Korban pencurian diminta mengirim versi, riwayat pembaruan, waktu kejadian, serta ID transaksi atau alamat ke [email protected] dan melapor ke aparat setempat. Jangan pernah mengirim seed phrase, kunci privat, atau kata sandi. Beberapa penyedia hosting, termasuk LunaNode, disebut mematikan instans rentan secara otomatis, jadi hubungi penyedia Anda bila server mendadak mati.
Dampak bagi pembaca di Indonesia
Toko online atau komunitas yang menjalankan BTCPay Server sendiri di VPS perlu mengecek versinya hari ini. Server yang lama tidak diperbarui adalah sasaran paling mudah, dan dana di dompet panas bisa hilang tanpa peringatan.
Sumber: BleepingComputer, blog BTCPay Server, dan advisori 2.4.2. Gambar: BleepingComputer.