BTCPay Server Güvenlik Açığı İstismarı: Bitcoin ve Litecoin Cüzdanlarından Çalındı (Kasım 2026)

BTCPay Server Güvenlik Açığı İstismarı: Bitcoin ve Litecoin Cüzdanlarından Çalındı

Açık kaynaklı, kendi kendine barındırılan bir kripto para ödeme işlemcisi olan BTCPay Server, eski sürümleri çalıştıran örneklerdeki sıcak cüzdanlardan Bitcoin ve Litecoin çalındığına dair raporlara yanıt olarak kullanıcılarını yazılımlarının en son sürümünü yüklemeye çağırdı.

BTCPay Server tarafından yapılan açıklamada, “Soruşturmamız, bu saldırıların BTCPay Server 2.4.1 (23 Temmuz 2026’da yayınlandı) veya daha eski sürümleri çalıştıran sunucuları hedeflediğini ortaya koydu” denildi. “Saldırganlar, 7 Ağustos 2026’da yayınlanan 2.4.2 sürümünde düzeltilen güvenlik açığını istismar etmek için farklı bir yöntem kullandı.”

2.4.1 veya daha eski sürümleri kullanan kullanıcıların, herhangi bir hırsızlık fark etmemiş olsalar bile, yeni bir cüzdanla yeni bir sunucuya geçmeleri önerilir. Çalınan fonlar veya şüpheli yetkisiz erişim durumunda, kullanıcıların tüm makineyi ve üzerinde depolanan tüm sırları tehlikeye girmiş kabul etmeleri ve aynı kurtarma prosedürlerini izlemeleri zorunludur.

Saldırıların arkasındaki kişilerin güvenlik açığını ne zaman istismar etmeye başladığı şu anda bilinmiyor, ancak raporlar 1 Kasım 2026 civarında ortaya çıkmaya başladı.

BTCPay Server, X platformunda yaptığı bir paylaşımda, en son 2.4.7 sürümünü kullanan kullanıcılardan “güvenilir” sıcak cüzdan boşaltma raporları gelmediğini belirtti. Bu sürüm, Anthropic’in OSS tarayıcısı aracılığıyla keşfedilen bir kritik ve birkaç orta düzey güvenlik açığını gideriyor.

BTCPay Server ayrıca bu olaylarla bağlantılı iki cüzdan adresini de paylaştı:

• Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7
• Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee

“Günlük işlemler için sıcak bir cüzdana ihtiyacınız varsa, sunucuda yalnızca bu işlemler için gerekli fonları tutun ve geri kalanını harcama anahtarları sunucuda tutulmayan bir cüzdana taşıyın” uyarısında bulunuldu.

“BTCPay Server’ı bir barındırma sağlayıcısı aracılığıyla çalıştırıyorsanız, eski sürümlerin istismar edilmesini önlemek için örneğiniz otomatik olarak kapatılmış olabilir.”

Ağustos 2026’da BTCPay Server, kritik bir güvenlik açığının saldırganlar tarafından bazı kullanıcıların fonlarını çalmak için kullanıldığını açıklamıştı. Tüm BTCPay Server sürümlerini etkileyen bu sorun, 2.4.2 sürümünde düzeltilmişti. En son saldırıların aynı güvenlik açığıyla ilgili olup olmadığı belirsizliğini koruyor.

Ağustos ayındaki uyarıda, “Sorun, kimliği doğrulanmamış uzak bir saldırganın Lightning Network’ün bir uygulaması olan LND için .macaroon kimlik bilgisi dosyalarını elde etmesine izin verebilir” denildi. “Bu kimlik bilgileri, bir LND düğümünün kontrolünü ele geçirmek ve fonları taşımak için kullanılabilir. İncelediğimiz saldırılar yalnızca .macaroon uzantılı dosyaları hedefledi.”

Bu gelişme, kripto para alanındaki bir dizi güvenlik ihlali ve istismarıyla aynı zamana denk geliyor. Bunlar arasında Kuzey Koreli tehdit aktörleri tarafından Binance’ten 6,43 milyar dolarlık rekor hırsızlık ve aynı gün, tahmin piyasası devi Polymarket’in DebugBear tarafından geliştirilen yazılımın tehlikeye atılması sonucu 2,65 milyon dolarlık bir istismarın ardından kısa süreliğine işlemleri durdurması yer alıyor.

Donanım cüzdanı üreticisi Trezor da, CryptoBilis’ten Ağustos 2026’da satın alınan bir Trezor Safe 5’te bir donanım implantı iddia eden sorumlu bir açıklama raporu aldığını belirten bir uyarı yayınladı. Bunun, üçüncü taraf satıcılar aracılığıyla satılan bazı cihazların, kurbanın tohum cümlesini çalmak ve varlıklarını boşaltmak için fiziksel olarak kurcalandığı sofistike bir tedarik zinciri saldırısının parçası olduğu değerlendiriliyor.

Mercado Bitcoin Güvenlik Olayını Açıkladı

Pazartesi günü, Brezilya’nın en büyük kripto para borsası Mercado Bitcoin, 49 milyon dolarlık çalınan fonla sonuçlanan bir güvenlik ihlalinin ardından para yatırma ve çekme işlemlerini geçici olarak durdurduğunu duyurdu.

X platformunda yapılan bir paylaşımda, “Şu anda, ilgili varlıkların değeri yaklaşık 38 milyon dolar” denildi. “Kripto topluluğu ve Tether, Circle, Paxos, BRL1 ve Chainalysis dahil stratejik ortaklarla hızlı bir eylemle, şimdiden 11 milyon ABD dolarını bloke ettik.”

“Bloke edilmeye uygun diğer miktarlar tespit edildi ve engelleme çabaları devam ediyor. Hizmetlerin yeniden başlaması, tam güvenlik koşulları karşılandığında gerçekleşecek ve son tarihler yalnızca resmi kanallarımız aracılığıyla duyurulacaktır.”

Tether CEO’su Paolo Ardoino, stabilcoin ihraççısının olayla bağlantılı olarak 4,5 milyon USDT’den fazla dondurduğunu doğruladı.

Güncelleme

Saldırganlar, güncel olmayan BTCPay Server örneklerindeki sıcak cüzdanlardan 1,62 milyon dolar değerinde kripto para (18,38 BTC ve 3.405 LTC) çaldı. Bitquery’ye göre, bu faaliyet 682 ayrı boşaltma işlemiyle gerçekleşti.

Bitquery, “Paranın %87’si 1 Kasım’da 14:12 ile 22:16 UTC arasında tek bir dalgada hareket etti” dedi. “Paranın %77’si 10.000 dolar veya daha fazla olan 32 boşaltma işleminden geldi. Tüm boşaltma işlemlerinin yaklaşık yarısı 100 doların altındaydı.”

“Gördüğümüz ilk boşaltma, 30 Ekim’in başlarında, BTCPay’in 2.4.7 sürümünü yayınlamasından bir günden az bir süre sonra gerçekleşti. Bir cüzdanı 42 adresten hırsızla bağlantılı ikinci bir cüzdana boşalttı. Litecoin boşaltmaları 1 Kasım’da başladı ve Bitcoin dalgası bir saat içinde başladı.”

BTCPay Server çalıştıran kullanıcıların, sunucuyu tekrar çevrimiçi hale getirmeden önce 2.4.7 veya daha yeni bir sürüme güncellemeleri tavsiye edilir. Ayrıca, parayı sıcak cüzdandan yeni bir tohum cümlesi olan yeni bir cüzdana taşımaları, iki faktörlü kimlik doğrulamayı etkinleştirmeleri, yönetici şifrelerini değiştirmeleri ve API anahtarlarını döndürmeleri önerilir.