BTCPay Server, kendi barındırılan açık kaynaklı bir kripto para ödeme işlemcisi, daha eski sürümleri çalışan örneklerde sıcak cüzdanlardan Bitcoin ve Litecoin çalındığına dair raporlar üzerine kullanıcıları yazılımın en son sürümünü yüklemeye çağırdı.
“Soruşturmamız, bu saldırıların 23 Temmuz 2026’da yayımlanan BTCPay Server 2.4.1 sürümü veya daha erken sürümlerini çalıştıran sunucuları hedeflediğini ortaya koydu” dedi BTCPay Server. “Saldırganlar, 7 Ağustos 2026’da yayımlanan 2.4.2’de düzeltildiğini açıkladığımız açığı farklı bir yöntemle istismar etti.”
2.4.1 veya daha eski sürümleri çalıştıran kullanıcıların, hırsızlık fark etmemiş olsalar bile yeni bir cüzdanla yeni bir sunucuya geçmeleri öneriliyor. Fonların çalındığı veya yetkisiz erişim şüphesi bulunduğu durumlarda kullanıcıların tüm makineyi ve üzerinde saklanan tüm sırları tehlikeye girmiş kabul etmesi ve aynı kurtarma prosedürlerini uygulaması gerekiyor.
Kampanyanın arkasındaki saldırganların açığı ne zaman istismar etmeye başladığı şu an bilinmiyor; raporlar 1 Kasım 2026 civarında ortaya çıkmaya başladı.
X’teki bir paylaşımda BTCPay Server, en güncel 2.4.7 sürümünü kullanan kullanıcılardan sıcak cüzdan boşaltımına ilişkin “güvenilir rapor” gelmediğini belirtti. Söz konusu sürüm, Anthropic’in OSS tarayıcısı aracılığıyla keşfedilen kritik bir ve birkaç orta şiddette güvenlik açığını ele alıyor.
BTCPay Server bu olaylarla bağlantılı iki cüzdan adresini de paylaştı.
“Günlük operasyonlar için sıcak cüzdan kullanmanız gerekiyorsa, sunucuda yalnızca o operasyonlar için gerekli fonları tutun ve geri kalanını harcama anahtarları sunucu dışında tutulan bir cüzdana taşıyın” diye uyardı.
“BTCPay Server’ı bir barındırma sağlayıcısı üzerinden çalıştırıyorsanız, örneğiniz daha eski sürümlerin istismar edilmesini engellemek için otomatik olarak kapatılmış olabilir.”
Ağustos 2026’da BTCPay Server, saldırganların bazı kullanıcılardan fon çalmak için kritik bir açığı silahlandırdığını açıklamıştı. Tüm BTCPay Server sürümlerini etkileyen sorun 2.4.2 sürümünde kapatıldı. Son saldırı grubunun aynı açıkla ilgili olup olmadığı net değil.
“Sorun, doğrulanmamış uzaktan bir saldırganın Lightning Network’ün bir uygulaması olan LND için .macaroon kimlik doğrulama dosyalarını elde etmesine izin verebilirdi” dedi Ağustos ayındaki uyarıda. “Bu kimlik bilgileri bir LND düğümünün kontrolünü ele geçirmek ve fonları taşımak için kullanılabilir. İncelediğimiz saldırılar yalnızca .macaroon uzantılı dosyaları hedefledi.”
Gelişme, kripto para alanında yaşanan bir dizi güvenlik ihlali ve istismarla aynı döneme denk geliyor; Kuzey Kore bağlantılı tehdit aktörleri tarafından Binance’tan rekor 6.43 milyar dolar çalındı. Aynı gün, tahmin pazarı devi Polymarket, DebugBear tarafından geliştirilen yazılımın ele geçirilmesinin ardından 2.65 milyon dolarlık bir istismara uğradıktan sonra kısa süreliğine işlemleri durdurdu.
Donanım cüzdanı üreticisi Trezor da Ağustos 2026’da CryptoBilis’ten satın alınan bir Trezor Safe 5’te donanım implantı olduğunu öne süren sorumlu açıklama raporu aldığını duyurdu. Bu durumun, üçüncü taraf yeniden satıcılar üzerinden satılan bazı cihazların fiziksel olarak oynanarak kurbanın tohum ifadesinin çalınması ve varlıkların boşaltılması için kullanıldığı sofistike bir tedarik zinciri saldırısının parçası olduğu değerlendiriliyor.
Mercado Bitcoin Güvenlik Olayını Açıkladı
Pazartesi günü Brezilya’nın en büyük kripto para borsası Mercado Bitcoin, 49 milyon dolarlık fon çalınmasıyla sonuçlanan bir güvenlik ihlali sonrası para yatırma ve çekme işlemlerini geçici olarak durdurduğunu açıkladı.
“Bu anda söz konusu varlıkların değeri yaklaşık 38 milyon dolar” dedi X’teki paylaşımda. “Kripto topluluğu ve stratejik ortaklarla – Tether, Circle, Paxos, BRL1 ve Chainalysis dahil – hızlı bir şekilde harekete geçtik ve 11 milyon doları bloke ettik.”
“Bloke edilmesi uygun görülen diğer tutarlar tespit edildi ve sınırlama çalışmaları devam ediyor. Hizmetlerin yeniden başlatılması, tam güvenlik koşulları sağlandığı anda gerçekleşecek ve süreler yalnızca resmi kanallarımız üzerinden duyurulacak.”
Tether CEO’su Paolo Ardoino, stablecoin ihraççısının olayla bağlantılı olarak 4,5 milyondan fazla USDT’yi dondurduğunu doğruladı.
