BTCPay Server Jadi Target Hacker, Hot Wallet Bitcoin dan Litecoin Dikuras Melalui Versi Lama
Pengembang BTCPay Server mengeluarkan peringatan keamanan setelah menerima laporan pencurian Bitcoin dan Litecoin dari sejumlah hot wallet yang terhubung dengan server pembayaran cryptocurrency tersebut.
Berdasarkan hasil investigasi yang diumumkan pada 2 November 2026, penyerang memanfaatkan kerentanan pada BTCPay Server versi 2.4.1 dan sebelumnya untuk memperoleh akses tidak sah dan memindahkan aset kripto milik pengguna.
BTCPay Server meminta administrator yang masih menggunakan versi lama segera menghentikan operasional server dan memindahkan aset yang tersisa ke wallet baru.
Tim pengembang juga merekomendasikan penggunaan BTCPay Server 2.4.7, yang telah dirilis sebagai pembaruan keamanan darurat pada 29 Oktober 2026.
Namun, bagi server yang sebelumnya menjalankan versi rentan, pembaruan software saja belum tentu cukup karena penyerang mungkin sudah memperoleh akses terhadap sistem dan kredensial wallet.
Hacker Targetkan Hot Wallet pada BTCPay Server Versi Lama
BTCPay Server merupakan platform pemrosesan pembayaran kripto bersifat open-source dan self-hosted.
Layanan ini memungkinkan bisnis menerima pembayaran Bitcoin dan aset digital lainnya secara langsung tanpa harus bergantung pada penyedia pembayaran terpusat.
BTCPay Server juga mendukung pembayaran melalui Lightning Network serta menyediakan fitur invoice, checkout, dan pengelolaan transaksi.
Dalam konfigurasi tertentu, administrator dapat menggunakan hot wallet untuk memproses pembayaran dan pengiriman cryptocurrency secara otomatis.
Berbeda dari cold wallet atau hardware wallet, hot wallet menyimpan informasi yang diperlukan untuk mengotorisasi transaksi pada server yang terhubung ke jaringan.
Kondisi tersebut membuat aset lebih mudah dipindahkan jika penyerang berhasil mengambil alih server.
Menurut BTCPay Server, serangan terbaru secara khusus menargetkan instalasi yang masih menggunakan versi 2.4.1 atau lebih lama.
Versi 2.4.1 sebelumnya dirilis pada 23 Juli 2026, sedangkan perbaikan untuk kerentanan terkait sudah tersedia sejak versi 2.4.2 pada 7 Agustus 2026.
Penyerang Memanfaatkan Kerentanan yang Sudah Diperbaiki
Founder BTCPay Server, Nicolas Dorier, menjelaskan bahwa investigasi menemukan indikasi penyerang berhasil masuk ke server terdampak menggunakan akses administrator.
Awalnya, pengembang belum dapat memastikan bagaimana akses tersebut diperoleh.
Namun, penyelidikan kemudian menemukan bahwa serangan memanfaatkan metode berbeda untuk mengeksploitasi kerentanan yang telah diperbaiki pada BTCPay Server 2.4.2.
Pembaruan Agustus tersebut sebelumnya dirilis untuk mengatasi kelemahan yang memungkinkan penyerang memperoleh kredensial administratif Lightning Network Daemon (LND).
Kredensial tersebut dikenal sebagai macaroon dan digunakan untuk mengautorisasi akses terhadap node Lightning Network.
Meski demikian, serangan terbaru melibatkan pencurian aset dari hot wallet, sehingga pengembang masih perlu menyelidiki secara mendalam bagaimana penyerang memperoleh akses dan memindahkan dana.
BTCPay Server menegaskan bahwa instalasi yang sudah menjalankan versi 2.4.2 atau lebih baru sebelum peringatan 1 November tidak menunjukkan dampak dari kampanye pencurian terbaru yang telah diidentifikasi.
Laporan Pencurian Mulai Diterima pada 1 November
Menurut laporan insiden resmi, BTCPay Server menerima laporan pertama mengenai pencurian cryptocurrency pada 1 November 2026 pukul 20.56 UTC.
Salah satu transaksi yang dilaporkan terjadi lebih awal, yakni pukul 13.46 UTC pada hari yang sama.
Setelah menerima laporan tersebut, tim pengembang segera melakukan investigasi dan meminta operator menghentikan sementara server sebagai tindakan pencegahan.
BTCPay Server juga menghubungi sejumlah penyedia VPS, termasuk LunaNode, untuk membantu menonaktifkan instalasi yang berpotensi terdampak.
Pada 2 November, pengembang mengumumkan bahwa serangan telah diidentifikasi pada versi 2.4.1 dan sebelumnya.
BTCPay Server juga membagikan alamat wallet Bitcoin dan Litecoin yang diduga digunakan untuk menerima hasil pencurian.
Namun, pengembang belum memastikan total cryptocurrency yang berhasil dicuri maupun jumlah pengguna yang terdampak.
Tim keamanan memperingatkan bahwa seluruh transaksi yang terlihat pada alamat tersebut belum tentu berasal dari kampanye terbaru.
Karena itu, saldo wallet penyerang tidak dapat langsung digunakan sebagai angka resmi kerugian.
Pengguna Versi Lama Diminta Membuat Server dan Wallet Baru
BTCPay Server memberikan rekomendasi khusus bagi administrator yang menjalankan versi 2.4.1 atau lebih lama.
Jika server pernah menggunakan versi rentan ketika serangan berlangsung, administrator disarankan memindahkan operasional ke server baru dengan wallet dan recovery phrase yang berbeda.
Rekomendasi ini tetap berlaku meskipun server telah diperbarui setelah peringatan 1 November atau belum ditemukan kehilangan dana.
Langkah pemulihan yang disarankan meliputi:
- Memindahkan saldo hot wallet yang masih tersedia ke wallet baru menggunakan perangkat tepercaya dan seed baru.
- Menghentikan operasional server lama serta menyimpan log yang diperlukan untuk investigasi.
- Membuat virtual machine baru dan menginstal BTCPay Server versi terbaru dari sumber resmi.
- Mengganti password, SSH key, API key, kredensial hosting, dan akses Lightning Network yang mungkin telah terekspos.
- Menghindari pemulihan seluruh image atau konfigurasi server lama ke lingkungan baru tanpa pemeriksaan keamanan.
BTCPay Server menegaskan bahwa sekadar melakukan upgrade tidak dapat menjamin hilangnya akses penyerang yang mungkin sudah tertanam sebelumnya.
Penggunaan kembali seed wallet lama juga tidak disarankan karena informasi tersebut berpotensi telah diketahui pihak tidak berwenang.
Cara Memperbarui BTCPay Server
Untuk instalasi yang belum terdampak kompromi, administrator dapat memeriksa versi melalui dashboard BTCPay Server.
Informasi versi biasanya ditampilkan pada bagian bawah halaman administrasi.
Pembaruan dapat dilakukan melalui menu Server Settings → Maintenance → Update.
Bagi instalasi standar berbasis Docker, administrator dapat menjalankan pembaruan melalui SSH:
sudo su -
cd btcpayserver-docker
./btcpay-update.shPerintah tersebut berlaku untuk instalasi yang menggunakan metode deployment Docker standar BTCPay Server.
Namun, pada server yang diduga telah dikompromikan, administrator sebaiknya mengikuti prosedur pemulihan dan migrasi ke lingkungan bersih, bukan hanya menjalankan pembaruan.
BTCPay Server juga merekomendasikan penyimpanan aset utama pada wallet yang private key-nya tidak berada di server pembayaran, seperti hardware wallet.
Dengan pendekatan tersebut, kompromi terhadap server tidak secara otomatis memberikan kemampuan kepada penyerang untuk memindahkan dana.
Pengguna yang Kehilangan Aset Diminta Melapor
BTCPay Server meminta pengguna yang mengalami pencurian atau menemukan aktivitas tidak sah segera menghubungi tim keamanan melalui email [email protected].
Laporan sebaiknya mencantumkan versi BTCPay Server yang digunakan, waktu kejadian, serta ID transaksi blockchain yang berkaitan dengan pencurian.
Pengguna juga disarankan melaporkan kehilangan aset kepada aparat penegak hukum setempat.
Pengembang menegaskan bahwa pengguna tidak boleh mengirimkan seed phrase, private key, password, maupun kredensial sensitif ketika membuat laporan.
Kasus ini menunjukkan bahwa server pembayaran cryptocurrency membutuhkan pengelolaan keamanan yang ketat, terutama ketika menyimpan private key hot wallet secara langsung.
Administrator BTCPay Server versi 2.4.1 atau lebih lama perlu memperlakukan sistem sebagai berpotensi terkompromi dan melakukan migrasi ke lingkungan baru, sementara instalasi yang aman tetap harus diperbarui secara berkala untuk mencegah serangan serupa.
Sumber: BTCPay Server — Security Incident Affecting BTCPay Server 2.4.1 and Earlier
