BTCPay Server Açığını Kullanan Hackerlar Sıcak Cüzdanlardan Bitcoin ve Litecoin Çaldı

Açık kaynaklı ve kendi kendine barındırılan bir kripto para ödeme işlemcisi olan BTCPay Server, eski sürümleri çalıştıran sunuculardan Bitcoin ve Litecoin çalındığına dair raporların ardından kullanıcılarını yazılımın en güncel sürümüne geçmeleri konusunda acilen uyardı. Yapılan soruşturma, saldırıların 23 Temmuz 2026'da yayımlanan 2.4.1 sürümü ve öncesini çalıştıran sunucuları hedef aldığını ortaya koydu.

Saldırılar Nasıl Gerçekleşti?​

BTCPay Server'ın açıklamasına göre saldırganlar, 7 Ağustos 2026'da yayımlanan 2.4.2 sürümüyle kapatılan güvenlik açığını farklı bir yöntemle istismar etti. Saldırıların ne zaman başladığı henüz bilinmiyor; ancak ilk raporlar 1 Kasım 2026 civarında gün yüzüne çıkmaya başladı. BTCPay Server, X platformundaki paylaşımında en güncel 2.4.7 sürümünü kullanan kullanıcılardan güvenilir herhangi bir sıcak cüzdan boşaltma raporu almadığını belirtti. Bu sürüm, Anthropic'in OSS tarayıcısı aracılığıyla keşfedilen bir kritik ve birkaç orta düzey güvenlik açığını kapatıyor.
Ağustos 2026'da BTCPay Server, kritik bir güvenlik açığının saldırganlar tarafından silah olarak kullanıldığını ve bazı kullanıcıların fonlarının çalındığını açıklamıştı. O dönemde yayımlanan uyarıda, söz konusu açığın kimliği doğrulanmamış uzak bir saldırganın LND için .macaroon kimlik bilgisi dosyalarına erişmesine olanak tanıdığı ifade edilmişti. LND, Lightning Network'ün bir uygulamasıdır. Bu kimlik bilgileri ele geçirildiğinde saldırganların bir LND düğümünü kontrol altına alıp fonları taşıyabildiği belirtildi; incelenen saldırıların yalnızca .macaroon uzantılı dosyaları hedef aldığı da vurgulandı. Güncel saldırıların bu açıkla bağlantılı olup olmadığı ise belirsizliğini korumaktadır.

Kullanıcılara Yönelik Uyarılar ve Öneriler​

BTCPay Server, 2.4.1 ve önceki sürümleri kullanan herkese, herhangi bir hırsızlık fark etmeseler dahi yeni bir sunucuya ve yeni bir cüzdana geçmelerini tavsiye etti. Fon çalındığı ya da yetkisiz erişimden şüphelenildiği durumlarda ise tüm makinenin ve üzerinde saklanan tüm gizli bilgilerin ele geçirilmiş sayılması gerektiği uyarısında bulunuldu. Ayrıca günlük operasyonlar için sıcak cüzdan kullanmak zorunda olan kullanıcılara, sunucuda yalnızca o operasyonlar için gereken miktarda fon tutmaları ve geri kalanını harcama anahtarları sunucu dışında saklanan bir cüzdana aktarmaları önerildi. Bir barındırma sağlayıcısı üzerinden BTCPay Server çalıştıran kullanıcıların ise eski sürümlerin istismar edilmesini önlemek amacıyla örneklerinin otomatik olarak kapatılmış olabileceği hatırlatıldı. BTCPay Server ayrıca olaylarla bağlantılı iki cüzdan adresini de kamuoyuyla paylaştı: Bitcoin için bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7, Litecoin için ise ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Kripto Para Dünyasındaki Geniş Güvenlik Krizi​

Bu gelişme, kripto para ekosistemini sarsan bir dizi güvenlik ihlali ve saldırısıyla eş zamanlı yaşandı. Kuzey Koreli tehdit aktörlerinin Binance'den 6,43 milyar dolarlık rekor hırsızlığı bu olayların başında geliyor. Aynı gün tahmin piyasası devi Polymarket, DebugBear tarafından geliştirilen yazılımın ele geçirilmesinin ardından 2,65 milyon dolarlık bir saldırıya uğrayarak işlemleri geçici olarak durdurdu. Donanım cüzdanı üreticisi Trezor da Ağustos 2026'da CryptoBilis üzerinden satın alınan bir Trezor Safe 5 cihazında donanım implantı bulunduğuna ilişkin sorumlu açıklama raporu aldığını duyurdu. Bu durumun, üçüncü taraf satıcılar aracılığıyla satılan bazı cihazların kurbanın tohum ifadesini çalmak ve varlıklarını boşaltmak amacıyla fiziksel olarak değiştirildiği sofistike bir tedarik zinciri saldırısının parçası olduğu değerlendirildi.

Mercado Bitcoin'de 49 Milyon Dolarlık İhlal​

Brezilya'nın en büyük kripto para borsası Mercado Bitcoin, Pazartesi günü bir güvenlik ihlali sonucunda 49 milyon dolarlık varlığın çalındığını açıklayarak mevduat ve çekimleri geçici olarak durdurduğunu bildirdi. Borsanın X'teki açıklamasına göre olaya karışan varlıkların değeri o an itibarıyla yaklaşık 38 milyon dolar olarak hesaplandı. Tether, Circle, Paxos, BRL1 ve Chainalysis'in de dahil olduğu kripto para topluluğu ve stratejik ortaklarla yürütülen hızlı müdahale kapsamında 11 milyon doların bloke edildiği belirtildi. Bloke edilmeye uygun başka miktarların da tespit edildiği ve önlem çalışmalarının sürdüğü ifade edilirken hizmetlerin tam güvenlik koşulları sağlandığında yeniden başlatılacağı ve tarihlerin yalnızca resmi kanallar aracılığıyla duyurulacağı vurgulandı. Tether CEO'su Paolo Ardoino ise stablecoin ihraççısının olayla bağlantılı olarak 4,5 milyon USDT'nin üzerinde bir miktarı dondurduğunu doğruladı.

Sıkça Sorulan Sorular​

BTCPay Server'daki güvenlik açığı hangi sürümleri etkiliyor?​

Saldırılar, 23 Temmuz 2026'da yayımlanan 2.4.1 sürümü dahil olmak üzere bu sürümün öncesindeki tüm BTCPay Server sürümlerini hedef aldı. Açık, 7 Ağustos 2026'da yayımlanan 2.4.2 sürümüyle kapatıldı.

BTCPay Server, etkilenen kullanıcılara ne yapılmasını öneriyor?​

BTCPay Server, 2.4.1 ve önceki sürümleri kullananların, herhangi bir hırsızlık fark etmeseler dahi yeni bir sunucuya ve yeni bir cüzdana geçmelerini tavsiye etti. Fon çalındığı ya da yetkisiz erişimden şüphelenildiği durumlarda ise tüm makinenin ve üzerindeki tüm gizli bilgilerin ele geçirilmiş kabul edilmesi gerektiğini belirtti.

En güncel BTCPay Server sürümünü kullananlar da risk altında mı?​

BTCPay Server, en güncel 2.4.7 sürümünü kullanan kullanıcılardan herhangi bir güvenilir sıcak cüzdan boşaltma raporu almadığını açıkladı. Bu sürüm, bir kritik ve birkaç orta düzey güvenlik açığını kapatıyor.

Mercado Bitcoin'de ne kadar fon çalındı ve ne kadarı geri alındı?​

Mercado Bitcoin, güvenlik ihlali sonucunda 49 milyon dolarlık varlığın çalındığını açıkladı. Olay anında olaya karışan varlıkların değeri yaklaşık 38 milyon dolar olarak hesaplanırken Tether, Circle, Paxos, BRL1 ve Chainalysis ile yürütülen müdahale kapsamında 11 milyon dolar bloke edildi. Tether ise 4,5 milyon USDT'nin üzerinde bir miktarı dondurduğunu doğruladı.

BTCPay Server Ağustos 2026'da açıklanan güvenlik açığıyla güncel saldırılar arasında bir bağlantı var mı?​

Ağustos 2026'da açıklanan güvenlik açığı, kimliği doğrulanmamış uzak saldırganların LND için .macaroon kimlik bilgisi dosyalarına erişmesine olanak tanıyordu ve 2.4.2 sürümüyle kapatılmıştı. Güncel saldırıların bu açıkla bağlantılı olup olmadığı ise henüz netlik kazanmamıştır.