Saldırganlar, eski BTCPay Server kurulumlarında yönetici (admin) erişimi elde etti ve sıcak cüzdan’ları boşalttı. İzler, ağustos ayı yamasından önceye dayanan açıkları işaret ediyor.
Zarar, güncelleme yapmayan operatör’lerin omuzlarında kaldı ve ekip toplam kaybın ne kadar olduğunu hâlâ açıklamadı. BTCPay Server, işletmelerin kendi kendine barındırdığı, Bitcoin ile ödeme kabul etmeyi sağlayan ücretsiz ve açık kaynaklı bir ödeme altyapısı. Sıcak cüzdan yapısında, sunucu özel anahtarları kendi üzerinde tutuyor. Bu da kullanıcının onayına gerek kalmadan yazılımın fonları gönderebilmesini sağlıyor. Sonuç olarak, böylesi bir sunucuya admin erişimi olan herkes, mevcut coin’leri rahatça taşıyabiliyor.
Saldırganlar Hangi Sürümleri Hedef Aldı?
BTCPay Server ekibi ilk olarak alarmı 1 kasım gecesi verdi. Her operatörü, incelemeler tamamlanana kadar sunucularını kapatmaya çağırdı.
Devamında gelen açıklama saldırganların odağını daralttı. Saldırı vektörü, 23 temmuz 2026’da yayımlanan 2.4.1 sürümünü ve daha eski tüm versiyonları hedef aldı. Ancak ekip, şu anki 2.4.7 sürümünde ise herhangi bir soygun raporunun olmadığını söylüyor.
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
— BTCPay Server (@BtcpayServer) November 2, 2026
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
Kurumun kurucusu Nicolas Dorier belirttiğine göre saldırgan, etkilenmiş sunucularda yönetici olarak oturum açtı. Ancak ekip hâlâ bunun nasıl yapıldığını netleştiremedi. Şu ana kadar yapılan araştırmalar, 2.4.2 öncesinde var olan açıkların kullanıldığını ortaya koyuyor.
Bu saldırı, üç ay içinde BTCPay Server’ın 2.4.2’den eski bir sürümünü kullanan sunuculara yapılan en az ikinci büyük soygun olarak kayda geçti. Çünkü ağustos ayında yayımlanan söz konusu sürüm, uzaktaki saldırganların Lightning node kimlik bilgilerini ele geçirip bağlı cüzdan’ları boşaltmasına izin veren kritik bir açığı kapatmıştı.
O dönemde bile bu açık, aktif olarak istismar ediliyordu.
BTCPay Server Sıcak Cüzdan Kullanmak Mantıklı mı?
Sunucu sağlayıcıları da çok hızlı hareket etti. LunaNode ve benzeri platformlar, eski sürümlere yönelik saldırıları önlemek için müşterilerinin kurulumlarını otomatik olarak kapatmış olabilir dedi ekip.
Dorier, kendisinin de 2.4.7 sürümünü sıcak cüzdan ile kullandığını belirtiyor. Ancak kurucu, hiçbir sunucuda büyük bakiyeler tutulmaması gerektiği konusunda uyardı.
Sıcak cüzdanda kaybetmeyi göze aldığınızdan fazlasını tutmayın. Tekrar olmayacağının hiçbir garantisi yok.
Nicolas Dorier, X
Bu olay, kendi kontrolünüzde çalışan Bitcoin altyapıları için daha genel bir soruna işaret ediyor. Core Lightning kısa süre önce yamalanmamış node’ları hedef alan saldırılar konusunda uyardı. Her iki vakada da aslında çözüm, hırsızlık gerçekleşmeden önce zaten yayımlanmıştı. Yani en zayıf halka, BTCPay Server kurup güncelleme yapmayı ihmal eden operatör’ler oldu.
Orijinal BTCPay Server'da Güvenlik Alarmı: Hot Wallet İncelemesinden Ne Çıktı? hikayesini Phil Haunhorst tarafından tr.beincrypto.com ’da okuyun