BTCPay Server, Pazar günü yazılımı çalışan sunucularda sıcak cüzdanların saldırganlarca boşaltıldığına dair raporlar gelmesi üzerine operatörleri örneklerini kapatmaya çağırdı.
Proje daha sonra saldırının 2.4.1 veya daha eski sürümleri hedeflediğini, en güncel 2.4.7 sürümünü kullananlar arasında güvenilir bir boşaltma raporu bulunmadığını söyledi.
BTCPay, Perşembe günü Anthropic'in tarayıcısı tarafından bulunan bir kritik ve birkaç orta şiddetteki güvenlik açığını gidermek için acil güncelleme olarak 2.4.7'yi yayınladı.
Bitcoin ödemelerini kabul etmek için işletmelerin kullandığı ücretsiz, açık kaynaklı bir araç olan BTCPay Server, Pazar günü bağlı sıcak cüzdanların boşaltıldığına dair raporlar sonrası operatörlere sunucularını kapatmalarını söyledi.
"BTCPay Sunucularında sıcak cüzdanların yetkisiz saldırganlar tarafından süpürüldüğüne dair raporlar alıyoruz," diye yazdı proje 17:25 ET'de attığı tweet'te. "Bir örnek çalıştırıyorsanız, soruşturmayı tamamlayana kadar lütfen kapatın (./btcpay-down.sh)."
🚨 BTCPay Sunucularında sıcak cüzdanların yetkisiz saldırganlar tarafından süpürüldüğüne dair raporlar alıyoruz.
Bir örnek çalıştırıyorsanız, soruşturmayı tamamlayana kadar lütfen kapatın (./btcpay-down.sh).
— BTCPay Server (@BtcpayServer) 1 Kasım 2026
Yaklaşık iki saat sonra BTCPay kurucusu Nicolas Dorier, raporların 2.4.2 sürümünden daha eski sürümleri ilgilendirdiğini göründüğünü ve saldırganın etkilenen sunuculara yönetici erişimiyle giriş yaptığını söyledi.
Pazar günü daha sonra proje, 23 Temmuz'da yayınlanan 2.4.1 veya daha eski sürümleri çalıştıran örnekleri hedefleyen bir saldırı vektörü tespit ettiğini söyledi. "En güncel 2.4.7 sürümünü kullananlar için sıcak cüzdan boşaltma konusunda güvenilir bir raporumuz yok" dedi ve herkesin yazılımını güncel tutmasını istedi, etkilenen kullanıcıların da ayrıntı ve günlükleri güvenlik ekibine göndermesini istedi.
LunaNode dahil bazı barındırma sağlayıcıları, eski sürümlerin istismar edilmesini durdurmak için BTCPay örneklerini otomatik olarak kapattı, proje belirtti. BTCPay etkilenen sunucu sayısı veya kaç Bitcoin alındığı konusunda açıklama yapmadı.
Sıcak cüzdanlar ve BTCPay'in acil güncellemesi
BTCPay kendi barındırıldığı için her tüccar yazılımı kendi sunucusunda çalıştırıyor ve örnekleri kapatabilecek merkezi bir operatör yok. Tüccarlar, cüzdanın tohumunu internete bağlı o sunucuda saklayarak otomatik olarak işlem imzalamasını sağlayan sıcak cüzdan çalıştırmayı seçebilir. BTCPay'in kendi dokümantasyonu bu özelliği "DANGER" olarak etiketliyor ve "güvenlik etkileriyle gelir" uyarısında bulunuyor.
Saldırılar, BTCPay'in Perşembe günü Anthropic'in öncü açık kaynaklı yazılım tarayıcısı aracılığıyla dikkatine sunulan bir kritik ve birkaç orta şiddetteki güvenlik açığını gidermek için acil güncelleme olarak 2.4.7 sürümünü yayınlamasından günler sonra geldi. BTCPay saldırılardan bu açıkların istismar edilip edilmediği konusunda açıklama yapmadı.
Bu yıl proje için ilk güvenlik endişesi değil. Ağustosta BTCPay, 2.4.2 öncesi tüm sürümlerdeki kritik bir güvenlik açığının aktif olarak istismar edildiği konusunda uyardı ve kullanıcılara güncelleme yapmalarını ya da sunucularını kapatmalarını söyledi. Projenin destekçileri daha sonra geri dönen çalınan fonların yüzde 10'u karşılığında, en fazla 3 BTC ile sınırlı bir kurtarma ödülü finanse etti.
