BTCPay Server'ın eski sürümlerini çalıştıran sunuculardan 1,62 milyon dolarlık kripto varlık çekildi
Saldırganlar BTCPay Server 2.4.1 ve öncesini kullanan sunuculardaki hot wallet'lardan Bitcoin ve Litecoin çekti. Bitquery'ye göre 682 ayrı transferde yaklaşık 1,62 milyon dolar kayboldu; proje, kullanıcılardan yeni sunucu ve yeni cüzdana geçmelerini istiyor.
Açık kaynak ödeme altyapısı BTCPay Server'ı kullanan işletmeler, güncellenmemiş sunucuları hedef alan bir saldırı dalgasıyla karşı karşıya kaldı. Saldırganlar, sunucu üzerinde tutulan hot wallet'lardaki Bitcoin ve Litecoin bakiyelerini başka adreslere aktardı. Proje ekibine göre saldırılar 2.4.1 ve öncesi sürümleri çalıştıran sunuculara yönelikti.
Blokzincir analiz şirketi Bitquery'nin incelemesine göre toplam kayıp yaklaşık 1,62 milyon dolar (18,38 BTC ve 3.405 LTC). Fonlar 682 ayrı transferle çekildi; paranın yüzde 87'si 1 Kasım günü UTC 14:12–22:16 arasındaki tek bir dalgada hareket etti. Bitquery ilk transferin 30 Ekim'de görüldüğünü belirtiyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| BTCPay Server | 2.4.1 ve öncesi (saldırıların hedefi) | 2.4.2 (7 Ağustos 2026) ilgili açığı kapattı; proje 2.4.7 veya sonrasını öneriyor |
Saldırıda kullanılan açık için ayrı bir CVE kimliği paylaşılmadı. BTCPay, saldırganların 2.4.2 ile kapatılan açığı farklı bir yöntemle istismar ettiğini açıkladı. Ağustosta duyurulan bu kritik açık, kimliği doğrulanmamış bir saldırganın LND'ye ait kimlik bilgisi dosyalarını elde etmesine imkân tanıyordu. Mevcut saldırıların bu açıkla doğrudan bağlantılı olup olmadığı netleşmiş değil. Proje, kritik ve birkaç orta seviye açığı kapatan 2.4.7 sürümünü kullananlardan güvenilir bir hot wallet boşaltma bildirimi almadığını belirtti.
Beni etkiliyor mu?
BTCPay Server sürümünü yönetim panelinde, arayüzün alt bölümündeki sürüm bilgisinden veya sunucu yönetim sayfalarından kontrol edin. Sürümünüz 2.4.1 veya öncesiyse, ayrıca hot wallet kullanıyorsanız risk altındasınız.
Cüzdan adreslerinizin işlem geçmişini blokzincir gezgininde inceleyin; 30 Ekim sonrasında sizin başlatmadığınız çıkışlar varsa sunucunuzu ele geçirilmiş kabul edin. Bazı barındırma sağlayıcılarının etkilenen sunucuları otomatik olarak kapatmış olabileceği de not edildi; sağlayıcınızdan bildirim gelip gelmediğini kontrol edin.
Ne yapılmalı?
- BTCPay Server'ı tekrar internete açmadan önce 2.4.7 veya sonraki sürüme yükseltin.
- Hırsızlık fark edilmemiş olsa bile proje önerisine uyarak yeni bir sunucuya ve yeni seed phrase ile oluşturulmuş yeni bir cüzdana geçin.
- Fon kaybı veya şüpheli erişim varsa sunucuyu ve üzerindeki tüm sırları ele geçirilmiş kabul edin: yönetici parolalarını değiştirin, API anahtarlarını yenileyin, iki faktörlü doğrulamayı açın.
- Sunucuda yalnızca operasyonel tutarı bırakın; kalan bakiyeyi harcama anahtarları sunucu dışında olan bir cüzdanda saklayın.
