BTCPay Server, platform pemroses pembayaran mata uang kripto bersumber terbuka dan mandiri, mendesak para penggunanya untuk segera memperbarui perangkat lunak mereka ke versi terkini menyusul adanya laporan pencurian Bitcoin dan Litecoin dari dompet panas pada instalasi yang masih menjalankan versi lawas.
"Penyelidikan kami mendapati bahwa serangan ini menargetkan peladen yang menjalankan BTCPay Server 2.4.1 (diluncurkan pada 23 Juli 2026) atau versi di bawahnya," terang pihak BTCPay Server. "Para penyerang memakai cara berbeda untuk memanfaatkan celah keamanan yang sebelumnya telah diatasi dalam rilis 2.4.2 pada 7 Agustus 2026."
Para pengguna yang masih memakai versi 2.4.1 atau edisi terdahulu sangat disarankan bermigrasi ke peladen yang benar-benar baru disertai dompet baru, sekalipun pemilik akun belum melihat tanda-tanda kehilangan dana. Apabila terjadi peristiwa hilangnya dana atau kecurigaan adanya akses ilegal, pengguna diwajibkan menganggap seluruh mesin beserta data rahasia di dalamnya sudah disusupi dan harus menempuh proses pemulihan serupa.
Hingga sekarang belum dapat dipastikan secara tepat kapan pelaku di balik aksi kejahatan ini pertama kali mengeksploitasi celah itu, kendati kabar mengenai insiden mulai bermunculan sekitar tanggal 1 November 2026.
Melalui sebuah pernyataan di platform X, pihak BTCPay Server menegaskan bahwa tak ditemukan laporan kredibel terkait pengurasan hot wallet dari kalangan yang menggunakan versi mutakhir 2.4.7. Pembaruan tersebut mengatasi satu kerentanan tingkat kritis dan sejumlah lubang keamanan tingkat menengah yang ditemukan berkat pemindai kode OSS milik Anthropic.
BTCPay Server juga turut mengumumkan dua alamat dompet kripto yang teridentifikasi terkait langsung dengan serangkaian pembobolan dana tersebut.
"Bila Anda membutuhkan dompet panas demi operasional harian, simpan dana secukupnya saja di peladen untuk kebutuhan tersebut, lalu pindahkan sisanya ke dompet yang kunci pengeluarannya disimpan di luar sistem peladen," demikian peringatan dari tim pengembang.
"Jika Anda menjalankan layanan BTCPay Server melalui pihak penyedia hosting, instans Anda kemungkinan telah dimatikan secara otomatis demi mencegah sistem versi usang disusupi peretas."
Pada Agustus 2026 lalu, BTCPay Server pernah mengumumkan sebuah kerentanan kritis yang dimanfaatkan pihak luar untuk menggondol dana milik sejumlah pengguna. Permasalahan yang melanda seluruh varian BTCPay Server ini sudah diperbaiki lewat versi 2.4.2. Kendati demikian, masih belum terbukti apakah gelombang peretasan terkini berhubungan langsung dengan celah keamanan yang sama.
"Kelemahan tersebut memungkinkan pelaku jarak jauh tanpa autentikasi mencuri berkas kredensial .macaroon pada LND, yang merupakan implementasi Lightning Network," jelas mereka dalam peringatan bulan Agustus. "Kredensial curian itu bisa dipakai mengambil kendali node LND sekaligus mentransfer dana. Serangan yang kami teliti hanya mengincar berkas-berkas dengan ekstensi .macaroon."
Peristiwa ini berlangsung berbarengan dengan rentetan insiden peretasan dan eksploitasi besar di ranah kripto global, termasuk rekor pembobolan senilai $6,43 miliar dari Binance yang didalangi kelompok peretas Korea Utara. Pada hari yang sama, bursa prediksi ternama Polymarket sempat menghentikan transaksi perdagangannya usai diterpa peretasan sebesar $2,65 juta akibat kompromi pada perangkat lunak buatan DebugBear.
Pabrikan dompet keras Trezor turut merilis peringatan serupa usai menerima laporan pengungkapan bertanggung jawab terkait dugaan pemasangan perangkat keras mencurigakan pada produk Trezor Safe 5 yang dibeli dari CryptoBilis pada Agustus 2026. Kasus ini diperkirakan menjadi bagian dari serangan rantai pasok canggih, di mana unit yang dipasarkan lewat pengecer pihak ketiga dimodifikasi secara fisik guna merebut seed phrase korban dan menguras aset kripto mereka.
Mercado Bitcoin Ungkap Adanya Pembobolan Keamanan
Pada hari Senin, Mercado Bitcoin selaku bursa mata uang kripto terbesar di Brasil mengumumkan penghentian sementara kegiatan setoran maupun penarikan dana menyusul insiden pelanggaran keamanan yang mengakibatkan raibnya dana nasabah sebesar $49 juta.
"Saat ini, perkiraan total nilai aset yang terdampak menyentuh kisaran $38 juta," tulis perwakilan bursa dalam sebuah unggahan di platform X. "Lewat tindakan tanggap bersama komunitas kripto serta mitra strategis—termasuk Tether, Circle, Paxos, BRL1, dan Chainalysis—kami telah sukses membekukan dana sejumlah US$11 juta."
"Sejumlah aset lain yang memenuhi kriteria pembekuan sudah kami petakan, dan langkah penanganan terus digencarkan. Layanan akan kembali aktif segera setelah standar perlindungan maksimal terpenuhi seutuhnya, serta seluruh batas waktu pengerjaan akan kami kabarkan khusus lewat saluran resmi bursa," lanjut mereka.
Chief Executive Officer Tether, Paolo Ardoino, turut mengonfirmasi bahwa pihak penerbit stablecoin tersebut sudah membekukan lebih dari 4,5 juta USDT yang terkait langsung dengan insiden pembobolan sistem tersebut.
