Açık kaynak Bitcoin ödeme altyapısı BTCPay Server, kullanıcıların sıcak cüzdanlarının yetkisiz kişilerce boşaltıldığı bildirimlerinin ardından operatörlere sunucularını kapatma çağrısı yaptı. Projenin pazartesi günü açıkladığı ilk bulgular, saldırının 23 Temmuz'da yayımlanan 2.4.1 ve öncesi sürümleri hedef aldığını ve son sürümü çalıştıran kurulumlarda güvenilir bir kayıp bildirimi olmadığını gösteriyor.
Kendi sunucunda Bitcoin ile ödeme kabul etmeyi sağlayan açık kaynak yazılım BTCPay Server, cumartesi günü TSİ 01.25 civarında resmî hesabından acil bir uyarı yayımladı: ‘BTCPay Server’lardaki sıcak cüzdanların yetkisiz saldırganlar tarafından boşaltıldığına dair bildirimler alıyoruz. Bir örnek çalıştırıyorsanız, soruşturmayı tamamlayana kadar lütfen kapatın.’ Projeye katkı veren geliştiricilerden biri uyarıyı ‘Tatbikat değil: sıcak cüzdanınız varsa BTCPay Server’ınızı kapatın’ sözleriyle pekiştirdi. Operatörlere sunucuyu tamamen durduran bir komut çalıştırmaları talimatı verildi.
Pazartesi günü gelen ilk bulgular daireyi daralttı. Projenin açıklamasına göre soruşturma, saldırı vektörünün 23 Temmuz 2026’da yayımlanan 2.4.1 ve daha eski sürümleri çalıştıran kurulumları hedef aldığını belirledi. Bununla birlikte son sürüm olan 2.4.7’yi çalıştıran kullanıcılardan güvenilir bir sıcak cüzdan kaybı bildirimi alınmadığı belirtildi; tüm operatörlere kurulumlarını güncellemeleri çağrısı yapıldı.
Kurucu Nicolas Dorier’ın ön bulguları da aynı yöne işaret ediyor: Etkilendiği bildirilen kurulumların 2.4.2 öncesi yazılımlar çalıştırdığı ve saldırganların yönetici erişimi elde ettiği, adli izlerin bu eski sürümlerdeki açıklara işaret ettiği aktarıldı. Dorier, 2.4.7 çalıştıran genel kullanıma açık ve tanıtım sunucularına yapılmış saldırı olmadığını da belirtti. Proje henüz etkilenen kurulum sayısını, çalınan fon miktarını veya saldırganların sistemlere ilk giriş yönteminin teknik ayrıntılarını açıklamış değil; etkilenen kullanıcılardan güvenlik ekibine bilgi ve kayıt dosyaları göndermeleri istendi.
Olayın mimari kökü de önemli: BTCPay Server’ın sıcak cüzdan özelliği, işlemleri imzalamak için tohum cümlesini sunucunun kendisinde saklıyor. Başka bir deyişle sunucuyu ele geçiren biri, harici bir imzalama cihazına gerek kalmadan bağlanan cüzdanlardaki fonları taşıyabiliyor. Uyarının ardından Coincards gibi işletmeler BTCPay kurulumlarını çevrimdışına aldı; kendi altyapısını işleten ticari kullanıcılar için ödeme sürekliliği ile fon güvenliği arasında sıkışan bir tercih ortaya çıktı. Dorier, sıcak cüzdan bakiyelerini kaybedilmeye tahammül edilebilecek tutarla sınırlamanın önemini yineledi.
Arka planda dikkat çekici bir zamanlama var: Bitcoin.com’ın aktardığına göre 2.4.7, uyarıdan yalnızca üç gün önce yayımlanmış ve yapay zekâ destekli bir güvenlik revizyonunda tespit edilen 85 güvenlik bulgusunu kapatmıştı. Projenin ağustos ayında da uzaktan Lightning erişimini kısıtladığı, kimlik doğrulaması gerektirmeyen bir açık üzerinden Lightning ağ kimlik bilgilerinin çalındığı bir saldırı yaşanmıştı. Yeni saldırı vektörünün o açıkla bağlantılı olup olmadığı henüz bilinmiyor.
Şu anlık tablo, açık kaynak dünyanın klasik kuralını bir kez daha ortaya koyuyor: Yazılım güncellenmezse, yayımlanan yamanın koruması kuruluma hiç ulaşmamış oluyor. Soruşturma tamamlandığında ve teknik ayrıntılar paylaşıldığında etkilenen işletme ve fon ölçeği netleşecek; o ana kadar projenin tek net tavsiyesi sürüm yükseltmek ve sıcak cüzdanları asgari düzeyde tutmak.