BTCPay Server, platform pemrosesan pembayaran aset kripto sumber terbuka yang dihosting secara mandiri, telah meminta para penggunanya guna segera memasang versi perangkat lunak paling mutakhir sehubungan dengan adanya laporan pencurian Bitcoin serta Litecoin dari dompet panas (hot wallet) pada sistem yang masih mengoperasikan versi lawas.
"Hasil investigasi kami mendapati bahwa rangkaian serangan siber ini membidik server-server yang menjalankan BTCPay Server 2.4.1 (dirilis pada 23 Juli 2026) atau versi di bawahnya," terang pihak BTCPay Server. "Pelaku kejahatan menerapkan taktik berbeda guna mengeksploitasi kerentanan yang sebelumnya telah ditambal pada pembaruan 2.4.2, yang diluncurkan tanggal 7 Agustus 2026."
Para pengguna yang hingga saat ini mengoperasikan varian 2.4.1 maupun edisi sebelumnya disarankan bermigrasi menuju instalasi server baru dengan dompet anyar, termasuk dalam kondisi di mana pemilik akun belum menyadari adanya kehilangan saldo. Apabila terjadi kehilangan dana atau muncul indikasi akses tanpa izin, pengguna wajib menganggap keseluruhan mesin serta segala rahasia yang tersimpan di dalamnya telah terkompromi dan wajib menempuh tahapan pemulihan serupa.
Hingga saat ini belum diketahui secara pasti kapan komplotan peretas di balik aksi tersebut mengawali eksploitasi celah ini, meski begitu laporan insiden baru mencuat ke permukaan pada kurun waktu sekitar tanggal 1 November 2026.
Melalui unggahan resmi di platform X, tim pengembang BTCPay Server menegaskan nihil "laporan kredibel" perihal pembobolan hot wallet yang menimpa para pemilik sistem dengan rilis 2.4.7 terkini. Pembaruan tersebut menuntaskan satu celah berisiko kritis serta beberapa celah keamanan berkategori menengah yang ditemukan berkat pemindai OSS milik Anthropic.
Pengembang BTCPay Server turut membagikan dua alamat dompet digital yang memiliki keterkaitan erat dengan rentetan aksi pembobolan tersebut –
"Apabila aktivitas operasional harian Anda mewajibkan penggunaan hot wallet, simpanlah dana secukupnya saja untuk kebutuhan tersebut pada server dan alihkan sisanya menuju dompet yang kunci pengeluarannya (spending keys) disimpan terpisah dari server," imbau mereka.
"Jika Anda menjalankan layanan BTCPay Server melalui pihak penyedia hosting web, sistem Anda kemungkinan sudah dinonaktifkan otomatis demi mencegah eksploitasi keamanan terhadap instalasi perangkat lunak lama tersebut."
Pada Agustus 2026, pihak BTCPay Server sempat mengumumkan temuan celah berbahaya berstatus kritis yang dimanfaatkan penyusup untuk merampas saldo kepemilikan beberapa pengguna. Celah yang berdampak ke seluruh edisi BTCPay Server itu telah diperbaiki lewat rilis 2.4.2. Belum dapat dipastikan apakah serangan paling baru ini terkait langsung dengan kerentanan tersebut.
"Celah tersebut dapat memberi ruang bagi penyerang jarak jauh tanpa otentikasi mengambil berkas kredensial .macaroon pada LND, yaitu implementasi Lightning Network," jelas mereka dalam pengumuman Agustus itu. "Kredensial tersebut berpotensi dipakai menguasai node LND serta mentransfer saldo. Pola serangan yang kami teliti hanya mengincar file berekstensi .macaroon."
Insiden pembobolan ini terjadi bersamaan dengan sederet kasus pelanggaran keamanan dunia kripto, termasuk pencurian aset rekor sebesar $6,43 miliar dari bursa Binance oleh kelompok kriminal siber Korea Utara. Pada hari yang persis sama, pasar prediksi terkemuka Polymarket menghentikan transaksi sementara usai terdampak peretasan senilai $2,65 juta akibat perangkat lunak buatan DebugBear disusupi.
Pabrikan dompet keras (hardware wallet) Trezor pun mengeluarkan imbauan serupa setelah menerima laporan pengungkapan kerentanan mengenai adanya implan fisik di unit Trezor Safe 5 yang dibeli dari CryptoBilis pada Agustus 2026. Kejadian tersebut diduga bagian rantai pasok rumit (supply chain attack), saat perangkat yang dijual distributor resmi dirusak fisiknya untuk mengambil seed phrase korban guna menguras saldo.
Mercado Bitcoin Mengungkapkan Insiden Pelanggaran Siber
Pada hari Senin, bursa mata uang kripto terbesar di Brasil, Mercado Bitcoin, mengonfirmasi penangguhan sementara operasional deposit maupun penarikan dana setelah mengalami peretasan yang menyebabkan lenyapnya aset bernilai $49 juta.
"Saat ini, total nilai dari seluruh aset yang terdampak berada pada kisaran $38 juta," tulis perwakilan bursa di media sosial X. "Melalui langkah cepat bersama komunitas industri kripto serta mitra strategis – meliputi Tether, Circle, Paxos, BRL1, dan Chainalysis – kami sukses membekukan US$ 11 juta."
"Sejumlah dana lain yang memungkinkan dibekukan sudah kami data, dan berbagai langkah mitigasi terus dijalankan. Pembukaan kembali layanan akan langsung diterapkan segera sesudah jaminan keamanan terpenuhi, dan kepastian waktu diumumkan hanya melalui saluran resmi kami."
Chief Executive Officer (CEO) Tether Paolo Ardoino membenarkan bahwa penerbit koin stabil tersebut telah berhasil membekukan simpanan lebih dari 4,5 juta USDT yang berkaitan dengan insiden pembobolan Mercado Bitcoin tersebut.
About the Author
