BTCPay Server Eski Sürümlerdeki Cüzdan Hırsızlıklarını Duyurdu

Açık kaynaklı Bitcoin ödeme platformu BTCPay Server, kullanıcıların sıcak cüzdanlarından fon boşaltıldığına dair gelen şikayetlerin ardından eski yazılım sürümlerini etkileyen bir saldırı vektörü belirledi.

Platform tarafından pazartesi günü yapılan açıklamada, incelemelerin ardından 23 Temmuz 2026 tarihinde yayımlanan 2.4.1 veya daha eski sürümleri çalıştıran sunucuların hedef alındığı kaydedildi. En güncel sürüm olan 2.4.7 üzerinde ise cüzdan boşaltma vakalarına dair güvenilir bir bildirime rastlanmadığı belirtilerek sunucu yöneticilerinden kurulumlarını derhal güncellemeleri istendi.

Söz konusu tespitler, yetkisiz para çekme iddiaları araştırılırken platformun operatörlere sistemlerini geçici olarak kapatmaları yönünde yaptığı ilk uyarının ardından geldi. Geliştirici ekip, bu süreçte sunucuların nasıl güvenli şekilde kapatılacağına dair yönergeler de paylaştı.

Kaç operatörün etkilendiği, çalınan toplam fon tutarı veya saldırganların cüzdanlara teknik olarak nasıl eriştiği konusunda henüz resmi bir veri paylaşılmadı. Güvenlik ekibi, saldırıya uğrayan kullanıcılardan inceleme için sistem günlüklerini ve teknik bilgileri kendilerine iletmelerini talep etti.

Son olaylar, Ağustos ayında Lightning Network Daemon (LND) kimlik bilgilerini ele geçirip fon hırsızlığına yol açan bir açığın ardından uzaktan Lightning erişiminin kısıtlanmasından yaklaşık üç ay sonra yaşandı. Son saldırı vektörünün Ağustos ayındaki güvenlik açığıyla bağlantılı olup olmadığı henüz netlik kazanmadı.