BTCPay Server, sebuah platform pemroses pembayaran mata uang kripto open-source berbasis self-hosted, secara resmi mengimbau para penggunanya untuk segera memasang pembaruan perangkat lunak terkini menyusul adanya laporan pencurian Bitcoin dan Litecoin dari hot wallet pada sistem yang masih memakai versi lama.
"Hasil investigasi mendalam kami menemukan fakta bahwa rentetan serangan siber ini menyasar server yang menjalankan BTCPay Server versi 2.4.1 (dirilis pada 23 Juli 2026) atau versi di bawahnya," terang perwakilan BTCPay Server. "Para pelaku kejahatan siber menggunakan metode baru yang berbeda dalam mengeksploitasi kerentanan yang sebenarnya telah diperbaiki pada versi 2.4.2, yang diluncurkan pada 7 Agustus 2026."
Bagi siapa pun yang mengoperasikan versi 2.4.1 atau varian yang lebih lawas, pihak pengembang merekomendasikan pemindahan sistem ke server anyar yang benar-benar bersih serta memperbarui dompet digital, bahkan ketika pengguna belum mendeteksi adanya aktivitas transaksi mencurigakan atau kehilangan saldo. Apabila dana telah raib atau timbul kecurigaan bahwa hak akses telah disusupi secara ilegal, pengguna diwajibkan menganggap seluruh mesin komputasi beserta seluruh kunci rahasia yang tersimpan di dalamnya telah disusupi sepenuhnya, lalu wajib mematuhi panduan pemulihan sistem secara menyeluruh.
Hingga saat ini, belum diketahui secara persis kapan komplotan penyerang mulai melancarkan aksi eksploitasi celah ini, kendati sejumlah pemberitahuan dan keluhan dari korban mulai bermunculan ke ranah publik sekitar 1 November 2026.
Lewat keterangan resmi di media sosial X, BTCPay Server menyatakan bahwa hingga kini tidak ditemukan "laporan kredibel" terkait insiden pengurasan hot wallet dari kalangan pengguna yang telah memperbarui sistem ke rilis terkini 2.4.7. Rilis terbaru ini secara khusus menambal satu kerentanan tingkat kritis serta sejumlah celah berisiko sedang yang sebelumnya ditemukan berkat piranti pemindai OSS milik Anthropic.
Guna meningkatkan kewaspadaan publik, tim pengembang BTCPay Server turut merilis dua alamat dompet kripto yang terkonfirmasi berkaitan langsung dengan rangkaian aksi pencurian tersebut.
"Jika aktivitas bisnis harian Anda memang menuntut penggunaan hot wallet, simpanlah dana secukupnya saja untuk kebutuhan operasional pada server tersebut, lalu transfer sisa saldo yang ada menuju dompet yang private key pengeluarannya disimpan aman secara offline di luar server," tegas pengembang.
"Apabila Anda mengoperasikan BTCPay Server melalui jasa pihak ketiga penyedia hosting, instans server Anda kemungkinan telah dimatikan secara otomatis sebagai langkah preventif guna mencegah versi lama dieksploitasi oleh pelaku kejahatan," imbuhnya.
Sebelumnya pada bulan Agustus 2026, pihak penyedia mengumumkan bahwa sebuah kerentanan kritis telah dijadikan senjata oleh peretas untuk membawa kabur simpanan milik beberapa pemakai. Problem keamanan yang berpotensi melanda seluruh varian sistem tersebut sebenarnya telah ditambal lewat kehadiran versi 2.4.2. Kendati demikian, masih belum terbukti apakah gelombang peretasan terbaru ini berasal dari celah cacat program yang identik.
"Celah tersebut memungkinkan penyerang jarak jauh tanpa autentikasi memperoleh berkas kredensial .macaroon untuk LND, suatu implementasi dari jaringan Lightning Network," jelas mereka dalam peringatan resmi pada Agustus lalu. "Kredensial tersebut dapat disalahgunakan untuk mengambil kendali penuh atas node LND dan memindahkan saldo kripto secara leluasa. Rentetan serangan yang kami evaluasi kala itu hanya menargetkan berkas dengan ekstensi .macaroon."
Peristiwa pembobolan ini terjadi beriringan dengan maraknya serangkaian kejahatan siber di ekosistem kripto internasional, termasuk rekor kerugian fantastis sebesar $6,43 miliar dari bursa Binance yang didalangi oleh aktor peretas asal Korea Utara. Pada hari yang sama, platform pasar prediksi ternama Polymarket terpaksa membekukan seluruh proses perdagangan seusai diguncang insiden eksploitasi senilai $2,65 juta akibat kompromi keamanan pada software buatan DebugBear.
Produsen dompet perangkat keras Trezor turut mengeluarkan peringatan dini seusai menerima laporan pengungkapan kerentanan mengenai adanya implan fisik ilegal pada varian Trezor Safe 5 yang dibeli dari gerai CryptoBilis pada Agustus 2026. Aksi pembajakan tersebut diduga kuat merupakan bagian dari skema serangan rantai pasok terencana, di mana sejumlah unit perangkat keras yang didistribusikan melalui reseller pihak ketiga sengaja dimodifikasi fisiknya demi mencuri seed phrase milik pengguna untuk kemudian menguras isi asetnya.
Mercado Bitcoin Umumkan Insiden Pelanggaran Keamanan
Pada hari Senin, platform bursa pertukaran kripto terbesar di Brasil, Mercado Bitcoin, secara resmi mengumumkan penutupan sementara seluruh transaksi deposit dan penarikan menyusul timbulnya insiden pembobolan keamanan yang mengakibatkan raibnya dana senilai $49 juta.
"Saat ini, estimasi total aset yang terimbas mencapai sekitar $38 juta," terang perwakilan Mercado Bitcoin lewat unggahan di akun resmi X mereka. "Melalui koordinasi cepat bersama komunitas mata uang kripto serta mitra strategis utama kami – meliputi Tether, Circle, Paxos, BRL1, dan Chainalysis – kami telah sukses membekukan aset sebesar US$ 11 juta."
"Nominal dana lain yang memenuhi kriteria pemblokiran telah kami petakan, dan langkah mitigasi guna mengisolasi dampak kerugian terus dijalankan secara intensif. Pemulihan operasional layanan secara utuh baru akan dilaksanakan apabila seluruh standar keamanan terpenuhi, dan jadwal resminya akan dipublikasikan secara eksklusif lewat kanal komunikasi resmi kami."
Chief Executive Officer (CEO) Tether, Paolo Ardoino, menegaskan bahwa pihaknya selaku penerbit stablecoin telah berhasil membekukan simpanan lebih dari 4,5 juta USDT yang terbukti memiliki keterkaitan erat dengan tindak kejahatan tersebut.