BTCPay Server, perangkat lunak open-source yang dipakai pedagang untuk menerima pembayaran bitcoin langsung tanpa prosesor pihak ketiga, mengeluarkan peringatan mendesak pada Jumat, 7 Agustus 2026, mengungkap kerentanan kritis yang tengah aktif dieksploitasi penyerang. Proyek ini memberi tahu para administrator bahwa celah tersebut berpotensi menyebabkan pencurian dana dan mendesak tindakan segera, bukan sekadar mengikuti siklus patch rutin.
Decrypt melaporkan bahwa BTCPay menahan sejumlah detail dari pengungkapan ini — mekanisme persis kerentanannya, kapan serangan dimulai, berapa banyak server yang telah disusupi, dan apakah dana benar-benar telah dicuri — sebuah trade-off umum dalam pengungkapan eksploitasi aktif yang dimaksudkan untuk menghindari memberi peta jalan kepada penyerang yang belum menemukan bug tersebut.
Apa yang Diminta dari Administrator
Panduan BTCPay tergolong tidak biasa langsungnya untuk sebuah advisory keamanan. Administrator diminta memperbarui ke versi 2.4.2 segera dan memastikan nomor versi baru muncul di footer server; jika pembaruan segera tidak memungkinkan, rekomendasinya adalah menonaktifkan server sepenuhnya alih-alih membiarkannya tetap terekspos. Di luar patching, BTCPay meminta operator untuk mengganti kredensial macaroon dan membuat ulang file macaroons.db, memperbarui string autentikasi untuk backend Lightning Network, serta memindahkan dana dari dompet hot on-chain mana pun yang dibuat di dalam BTCPay — lalu membuat ulang dompet-dompet tersebut dari nol.
Baca juga: Kerugian Peretasan Coldcard Bisa Tembus $130 Juta, Kata Galaxy Research
Kejadian Terbaru di Tengah Bulan yang Berat bagi Perangkat Keras dan Infrastruktur Bitcoin
Celah ini pertama kali diungkap oleh anggota Bitcoin Red Team, dan muncul di tengah rentetan kegagalan keamanan self-custody. Hanya beberapa hari sebelumnya, bug firmware berusia lima tahun pada dompet perangkat keras Coldcard milik Coinkite — ada sejak Maret 2021 dan terlacak ke perangkat yang melewati chip randomness khusus perangkat kerasnya demi pengganti perangkat lunak yang bisa diprediksi — memungkinkan penyerang menguras 1.816 BTC dari 5.200 alamat, dengan 1.082,65 BTC di antaranya (sekitar $70,2 juta saat itu) diambil dari 1.196 alamat dalam satu jendela waktu 41 menit pada 30 Juli. Boltz secara terpisah menghentikan sementara layanannya setelah apa yang disebutnya sebagai serangan yang dipercepat AI.
Pola yang Layak Diwaspadai
Coinkite mengatakan pihaknya membantu korban Coldcard tetapi belum menawarkan kompensasi, dan advisory BTCPay pun belum memberi indikasi apakah pedagang yang terdampak akan dipulihkan kerugiannya. Untuk sebuah stack pembayaran yang memasarkan dirinya dengan menghilangkan risiko kustodian, eksploitasi aktif terhadap perangkat lunak server itu sendiri adalah skenario yang seharusnya justru dihindari oleh seluruh model ini — kemungkinan besar itulah sebabnya respons BTCPay begitu menekankan agar operator menganggap sistem sudah disusupi dan merotasi semuanya, alih-alih menunggu konfirmasi bahwa mereka memang terkena dampak.
