Btcpay Diterpa Laporan Pencurian Dompet Panas Bitcoin

Pengembang Btcpay Mendesak Penutupan Segera karena Dompet Bitcoin Dibobol

Sekitar pukul 22:25 UTC pada 1 November, akun resmi Btcpay Server menerbitkan pemberitahuan mendesak:

"Kami menerima laporan bahwa dompet panas di BTCPay Server dijarah oleh penyerang yang tidak berwenang."

Para operator diinstruksikan untuk mematikan instance mereka menggunakan perintah ./btcpay-down.sh hingga para penyelidik dapat menentukan apa yang sebenarnya terjadi. Kontributor inti, Uncle Rockstar Developer, memperkuat peringatan tersebut dengan menyatakan, "Ini bukan latihan: matikan BTCPay Server Anda jika Anda memiliki dompet panas."

BTCPay Server adalah perangkat lunak sumber terbuka yang memungkinkan pedagang menerima pembayaran bitcoin (BTC) tanpa bergantung pada perantara pembayaran konvensional. Operator dapat menghosting perangkat lunak tersebut sendiri dan mengelola infrastruktur dompet mereka sendiri. Kemandirian tersebut membawa tanggung jawab.

Sampai berita ini ditulis, para pengembang belum mengungkapkan jumlah total bitcoin yang dicuri maupun jumlah pedagang yang terdampak. Peringatan awal tersebut juga tidak memberikan keterangan yang terkonfirmasi mengenai bagaimana para penyerang pertama kali masuk ke sistem yang diretas.

Pendiri Menunjuk Versi Lama Saat Penyelidikan Semakin Terfokus

Pendiri Btcpay Server, Nicolas Dorier, kemudian memberikan penjelasan yang lebih spesifik. Temuan awalnya menunjukkan bahwa implementasi yang terdampak menjalankan perangkat lunak yang lebih lama dari versi 2.4.2. Para penyerang dilaporkan memperoleh akses administrator, dengan jejak forensik yang mengarah pada kerentanan yang ada di rilis-rilis lama tersebut.

Dorier juga menyebutkan bahwa server publik dan server demonstrasi yang menjalankan versi 2.4.7 tidak diserang. Perbedaan tersebut meredam kemungkinan bahwa rilis darurat terbaru itu sendiri yang menyebabkan kerentanan yang dilaporkan. Namun, hal ini tidak menjamin bahwa setiap instalasi saat ini kebal, dan para penyelidik belum menerbitkan laporan teknis lengkap.

Proyek ini sebelumnya telah menangani kerentanan terpisah pada bulan Agustus yang memungkinkan penyerang yang tidak terotentikasi memperoleh kredensial macaroon Lightning Network Daemon (LND), yang berfungsi sebagai token otorisasi. Kerentanan tersebut telah diperbaiki pada versi 2.4.2. Para pengembang sebelumnya menyatakan bahwa dompet on-chain milik Btcpay sendiri tidak terpapar melalui kerentanan spesifik tersebut.

Belum dapat dipastikan secara pasti apakah pencurian terbaru ini melibatkan kelemahan yang sama, kelemahan lama lainnya, atau beberapa kelemahan sekaligus.

Perbaikan Keamanan AI Memperbaiki 85 Kelemahan Hanya Beberapa Hari Sebelum Peringatan

Waktunya menambah twist lain. Pada 29 Oktober, Btcpay Server merilis versi 2.4.7 setelah menerima laporan kerentanan yang dihasilkan melalui inisiatif pemindaian keamanan sumber terbuka dari Anthropic. Rilis tersebut menangani 85 temuan, termasuk satu masalah kritis, 13 masalah tingkat keparahan tinggi, 52 masalah tingkat keparahan sedang, dan 19 masalah tingkat keparahan rendah.

Pengungkapan ini terjadi di tengah perluasan penelitian kerentanan yang dibantu AI pada tahun 2026, seiring sistem yang dikembangkan oleh raksasa AI seperti Anthropic, OpenAI, dan Google menunjukkan kemampuan yang semakin canggih dalam mengidentifikasi kelemahan perangkat lunak. Inisiatif pemindaian Anthropic sendiri melaporkan lebih dari 29.000 kandidat kerentanan selama enam bulan, meskipun hanya sebagian yang menjalani tinjauan manual.

Insiden Btcpay menggambarkan perbedaan mendasar antara menemukan kerentanan dan melindungi perangkat lunak yang telah diterapkan. Penerbitan perbaikan tidak secara otomatis memperbarui server yang dioperasikan secara independen.

Pedagang Mematikan Server Saat Penyelidikan Berlanjut

Perusahaan-perusahaan, termasuk Coincards, mematikan instalasi Btcpay setelah peringatan tersebut. Bagi pedagang, gangguan ini menimbulkan dilema langsung antara ketersediaan pembayaran dan perlindungan dana yang dapat diakses melalui dompet yang terhubung. Dorier menegaskan kembali pentingnya membatasi saldo dompet panas (hot wallet) pada jumlah yang dapat ditanggung oleh operator jika hilang.

Belum ada perkiraan kerugian pasti, tambalan baru khusus insiden ini, atau pernyataan bahwa situasi sudah aman yang diumumkan dalam pembaruan yang diberikan. Para pengembang sedang mempersiapkan penjelasan yang lebih lengkap. Pertanyaan yang mengkhawatirkan ini melampaui Btcpay: Seiring sistem AI mempercepat penemuan kerentanan, apakah infrastruktur pembayaran yang dioperasikan secara independen dapat mengikuti perkembangan perbaikan tersebut?