BTCPay Server'da güvenlik açığı nedeniyle sıcak cüzdanlar çalındı, yetkililer eski sürüm kullanıcılarına sunucularını kapatmalarını ve taşınmalarını acilen öneriyor

BlockBeats haberine göre, 5 Kasım'da açık kaynaklı Bitcoin ödeme işleme aracı BTCPay Server, 1 Kasım'da platformlarındaki Bitcoin ve Litecoin sıcak cüzdanlarından yetkisiz fon çalındığına dair çok sayıda rapor aldı. 2 Kasım'da proje ekibi bir soruşturma güncellemesi yayınlayarak saldırının BTCPay Server 2.4.1 sürümünü (23 Temmuz 2026'da yayınlandı) veya daha eski sürümlerini çalıştıran sunucuları hedef aldığını ve saldırganların 7 Ağustos'ta yayınlanan 2.4.2 sürümünde düzeltilen bir güvenlik açığından yararlandığını doğruladı.

Soruşturma, saldırganların farklı yöntemlerle bu eski sürüm açığını kullanarak sunucunun yönetici ayrıcalıklarını elde etmeyi başardığını ve sıcak cüzdanlardaki fonları boşalttığını gösteriyor. Anormalliğin tespit edilmesinin ardından BTCPay Server, 1 Kasım'da acil bir uyarı yayınlayarak tüm örnek operatörlerine soruşturmaya katkı sağlamak için sunucularını geçici olarak kapatmalarını tavsiye etti. Kurucu Nicolas Dorier daha sonra yalnızca 2.4.2 öncesi sürümleri (özellikle 2.4.1) çalıştıran sunucuların etkilendiğini, en son sürüm olan 2.4.7'yi çalıştıran kullanıcılardan ise güvenilir bir kayıp raporu gelmediğini doğruladı. LunaNode gibi etkilenen bazı hizmet sağlayıcıları, kayıpların yayılmasını önlemek için riskli eski sürüm örneklerini otomatik olarak kapattı.

Bu olayla ilgili olarak resmi makamlar net bir kurtarma rehberi sundu: Yalnızca yazılım sürümünü güncellemek riski ortadan kaldırmak için yeterli değildir, çünkü saldırganlar eski sunucularda kalıcı erişim elde etmiş olabilir. Resmi makamlar, hâlâ 2.4.1 veya daha eski bir sürümü kullanan tüm kullanıcıların (1 Kasım uyarısından sonra yükseltme yapanlar dahil) derhal aşağıdaki önlemleri almalarını şiddetle tavsiye ediyor: Öncelikle, eski sıcak cüzdandaki kalan fonları tamamen yeni bir anımsatıcı kelime öbeğiyle oluşturulmuş yeni bir cüzdana aktarın; ikinci olarak, eski sunucuyu devre dışı bırakın ve soruşturma için ilgili günlükleri saklayın; son olarak, yepyeni bir sanal makineye en son sürümü kurun ve yeni cüzdana bağlayın, eski sunucuyu asla bir bütün olarak yeni makineye geri yüklemeyin.

Dikkat çeken bir nokta, sunucu dışında saklanan fonların (donanım cüzdanları gibi) bu olaydan etkilenmediğidir; resmi makamlar hâlâ satıcılara bu daha güvenli ödeme yöntemini benimsemelerini tavsiye ediyor. Bu güvenlik açığı, bu yıl Ağustos ayında düzeltilen ve saldırganların LND (Lightning Network daemon) yönetici kimlik bilgilerini elde ederek düğümü kontrol ettiği güvenlik açığıyla ilişkilidir. Etkisi ciddi olsa da, bugüne kadar bu açığa bir CVE numarası atanmamıştır ve CISA'nın bilinen istismar edilen güvenlik açıkları kataloğunda yer almamaktadır.