BTCPay Server Kullanıcıları Bitcoin ve Litecoin Sıcak Cüzdan Hırsızlıkları Sonrası Yükseltmeye Çağrılıyor

BTCPay Server, kendi kendine barındırılan, açık kaynaklı bir kripto para ödeme işlemcisi olarak, eski sürümlerde çalışan örneklerdeki sıcak cüzdanlardan Bitcoin ve Litecoin çalındığına dair raporların ardından kullanıcıları en son sürümü kurmaya çağırdı. Şirket, soruşturmasının saldırıların 2.4.1 veya daha eski sürümlerde çalışan sunucuları hedef aldığını; saldırganların ise 2.4.2 sürümünde düzeltilen güvenlik açığını farklı bir yöntemle istismar ettiğini bulduğunu söyledi. Etkilenen sürümleri kullanan kullanıcıların, hırsızlık fark edilmemiş olsa bile yeni bir cüzdanla yeni bir sunucuya geçmesi öneriliyor.

Etkilenen sürümler ve kurtarma adımları

BTCPay Server, saldırıların 23 Temmuz 2026 tarihinde yayımlanan 2.4.1 sürümü veya daha eski sürümlerde çalışan sunucuları hedef aldığını söyledi. Güvenlik açığı 7 Ağustos 2026 tarihinde yayımlanan 2.4.2 sürümünde düzeltilmişti, ancak saldırganlar onu farklı bir yöntemle istismar etti. 2.4.1 veya daha eski sürümü kullanan kullanıcıların, hırsızlık fark edilmemiş olsa bile yeni bir cüzdanla yeni bir sunucuya geçmesi öneriliyor. Fonlar çalındıysa veya yetkisiz erişimden şüpheleniliyorsa, makinenin tamamı ve üzerinde depolanan tüm gizli bilgiler ele geçirilmiş sayılmalı ve aynı kurtarma adımları izlenmeli.

En son sürüm ve bildirilen olaylar

BTCPay Server, en son 2.4.7 sürümünü kullanan kullanıcılardan sıcak cüzdan boşaltmalarına dair güvenilir bir rapor gelmediğini söyledi. Bu sürüm, Anthropic'in OSS tarayıcısıyla keşfedilen bir kritik ve birkaç orta dereceli güvenlik açığını gideriyor. En son saldırıların raporları 1 Kasım 2026 civarında ortaya çıkmaya başladı ve saldırganların güvenlik açığını ilk ne zaman istismar etmeye başladığı bilinmiyor. BTCPay Server ayrıca olaylarla bağlantılı iki cüzdan adresi paylaştı: bir Bitcoin adresi, bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7, ve bir Litecoin adresi, ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Ağustos ayındaki güvenlik açığı ve ilgili bağlam

BTCPay Server, Ağustos 2026'da saldırganların bir kritik güvenlik açığını istismar ederek bazı kullanıcılardan fon çaldığını açıkladı. Sorun tüm BTCPay Server sürümlerini etkiliyor ve 2.4.2 sürümünde yamalandı. Bu açık, kimliği doğrulanmamış uzaktan bir saldırganın LND için .macaroon kimlik bilgisi dosyalarını elde etmesine izin verebilir ve bu kimlik bilgileri bir LND düğümünün kontrolünü ele geçirmek ve fonları taşımak için kullanılabilir. İncelenen saldırılar yalnızca .macaroon uzantılı dosyaları hedef aldı. BTCPay Server, en son saldırı kümesinin aynı güvenlik açığıyla bağlantılı olup olmadığı konusunda belirsiz olduğunu söyledi.

Önlemler ve barındırma sağlayıcıları

BTCPay Server, günlük işlemler için sıcak cüzdan gerekliyse sunucuda yalnızca bu işlemler için gerekli fonların tutulması, geri kalanının harcama anahtarları sunucu dışında saklanan bir cüzdana taşınması konusunda uyardı. BTCPay Server bir barındırma sağlayıcısı üzerinden çalıştırılıyorsa, daha eski sürümlerin istismar edilmesini önlemek için örnek otomatik olarak kapatılmış olabilir. Bu gelişme, kripto para alanında bir dizi güvenlik ihlali ve istismarla aynı döneme denk geliyor; bunlar arasında Kuzey Koreli tehdit aktörlerinin Binance'den 6,43 milyar dolar çalınmasıyla oluşan rekor hırsızlık da var. Aynı gün tahmin piyasası devi Polymarket, DebugBear tarafından geliştirilen yazılımın ele geçirilmesinin ardından 2,65 milyon dolar tutarında bir istismara maruz kalması sonrası işlemi kısa süreliğine durdurdu. Donanım cüzdan üreticisi Trezor da Ağustos 2026'da CryptoBilis'ten satın alınan bir Trezor Safe 5'te donanım implantı bulunduğu iddia eden sorumlu bildirim raporu aldığını ve bunun, üçüncü taraf satıcılar aracılığıyla satılan bazı cihazların mağdurun kurtarma ifadesini çalmak ve varlıkları boşaltmak için fiziksel olarak kurcalandığı gelişmiş bir tedarik zinciri saldırısının parçası olarak değerlendirildiğini uyardı.

Kaynaklar: The Hacker News