BTCPay Server, platform pemroses pembayaran mata uang kripto open-source berbasis self-hosted, mengimbau seluruh penggunanya agar segera memasang pembaruan perangkat lunak terkini. Peringatan mendesak ini diumumkan menyusul laporan mengenai pembobolan aset Bitcoin serta Litecoin dari hot wallet pada instalasi yang masih mengoperasikan versi lawas.
"Investigasi internal kami menemukan bahwa serangan siber ini menyasar server-server yang memakai BTCPay Server versi 2.4.1 (dirilis pada 23 Juli 2026) atau generasi sebelumnya," terang pihak BTCPay Server. "Para penyerang menerapkan teknik berbeda guna memanfaatkan celah keamanan yang sebelumnya telah ditambal pada pembaruan 2.4.2 tanggal 7 Agustus 2026."
Para pengguna yang hingga kini masih menjalankan versi 2.4.1 atau varian terdahulu diinstruksikan untuk segera berpindah ke server baru serta membuat dompet kripto anyar, kendati belum ada tanda-tanda kehilangan dana. Apabila terjadi pencurian atau ditemukan kecurigaan akses tanpa izin, pengguna wajib menganggap seluruh infrastruktur mesin beserta semua data rahasia di dalamnya telah diretas, kemudian langsung menjalankan prosedur pemulihan menyeluruh.
Hingga saat ini, waktu pasti dimulainya eksploitasi oleh para pelaku kejahatan belum diketahui secara pasti, kendati indikasi kemunculan laporan pembobolan mulai terpantau publik sekitar tanggal 1 November 2026.
Lewat pernyataan resmi di platform X, manajemen BTCPay Server menegaskan belum menemukan "laporan kredibel" tentang terkurasnya hot wallet milik pelanggan yang telah memasang versi 2.4.7 terbaru. Rilis teranyar ini menambal sebuah kerentanan kategori kritis dan rentetan celah berisiko sedang yang sebelumnya terdeteksi melalui pemindai sistem keamanan OSS milik Anthropic.
BTCPay Server juga telah merilis dan mempublikasikan dua alamat wallet utama yang teridentifikasi terkait langsung dengan aksi pencurian tersebut –
"Jika aktivitas bisnis harian Anda mengharuskan pemakaian hot wallet, simpanlah dana secukupnya saja di server sesuai kebutuhan operasional itu, lalu segera pindahkan sisa saldo ke dompet yang kunci pengeluarannya dikelola di luar server," tegas pengembang.
"Bagi Anda yang menjalankan BTCPay Server melalui jasa hosting pihak ketiga, server Anda barangkali telah dimatikan secara sepihak untuk mencegah potensi eksploitasi lebih lanjut pada sistem versi lama."
Sebelumnya pada Agustus 2026, pengembang BTCPay Server pernah mengumumkan sebuah kerentanan kritis yang dimanfaatkan peretas untuk mencuri aset sejumlah pengguna. Isu membahayakan tersebut menyerang semua versi aplikasi dan sejatinya telah diatasi melalui rilis 2.4.2. Masih belum terkonfirmasi apakah gelombang serangan mutakhir ini berkaitan langsung dengan kelemahan yang sama.
"Kelemahan sistem itu dapat memberi celah kepada peretas jarak jauh tanpa autentikasi untuk mengambil file kredensial .macaroon pada LND, salah satu implementasi protokol Lightning Network," ungkap mereka dalam peringatan Agustus lalu. "Kredensial tersebut dapat disalahgunakan guna mengambil kendali node LND sekaligus mentransfer dana keluar. Seluruh serangan yang kami amati secara eksklusif hanya mengincar berkas berekstensi .macaroon."
Insiden pembobolan ini bertepatan dengan serangkaian peretasan masif di industri kripto global, termasuk rekor kerugian fantastis 6,43 miliar dolar AS yang menimpa Binance akibat ulah kelompok hacker Korea Utara. Pada hari yang sama, bursa prediksi ternama Polymarket sempat menghentikan transaksi usai merugi 2,65 juta dolar AS imbas peretasan komponen perangkat lunak rancangan DebugBear.
Produsen dompet fisik Trezor turut mengeluarkan peringatan penting setelah menerima laporan pengungkapan celah mengenai dugaan manipulasi perangkat keras pada varian Trezor Safe 5 yang dibeli dari CryptoBilis pada Agustus 2026. Kasus ini diduga merupakan bagian dari serangan rantai pasok terencana, di mana unit hardware wallet yang didistribusikan pihak ketiga dimodifikasi secara fisik untuk membajak seed phrase milik korban demi menguras aset mereka.
Mercado Bitcoin Umumkan Insiden Pelanggaran Keamanan
Pada hari Senin, bursa pertukaran kripto terbesar di Brasil, Mercado Bitcoin, secara resmi membekukan transaksi penyetoran serta penarikan menyusul insiden pelanggaran keamanan siber yang mengakibatkan raibnya dana nasabah sebesar 49 juta dolar AS..
"Untuk saat ini, nilai total aset yang terdampak diperkirakan mencapai 38 juta dolar AS," jelas mereka melalui unggahan di akun X. "Berkat kolaborasi cepat bersama komunitas kripto serta mitra strategis utama – meliputi Tether, Circle, Paxos, BRL1, dan Chainalysis – kami telah sukses memblokir dana sebesar 11 juta dolar AS."
"Sejumlah aset lain yang berpotensi dibekukan kini telah dipetakan, dan langkah penanganan masih berlangsung intensif. Operasional layanan akan kembali dibuka penuh saat standar keamanan terpenuhi, dan kepastian jadwal hanya diumumkan via kanal resmi kami."
CEO Tether Paolo Ardoino mengonfirmasi bahwa pihaknya telah membekukan simpanan lebih dari 4,5 juta USDT yang terhubung dengan insiden peretasan tersebut.
