BTCPay Server Açığı İstismar Edildi: Sıcak Cüzdanlardan Bitcoin ve Litecoin’ler Çalındı

Kendi kendine barındırılan, açık kaynaklı bir kripto para birimi ödeme işleyicisi olan BTCPay Server, eski sürümler üzerinde çalışan sunucularda sıcak cüzdanlardan çalındığı bildirilen Bitcoin ve Litecoin’ler nedeniyle yazılımının en son sürümünü kurmaları için kullanıcıları uyardı.

“Yaptığımız soruşturma, bu saldırıların 23 Temmuz 2026’da yayımlanan BTCPay Server 2.4.1 veya daha eski sürümlerini çalıştıran sunucuları hedef aldığını ortaya koydu” dedi BTCPay Server. “Saldırganlar, 7 Ağustos 2026’da yayımlanan 2.4.2 sürümünde düzeltilen açığı kullanmak için farklı bir yöntem kullandı.”

2.4.1 veya daha eski sürümleri çalıştıran kullanıcıların, para çalınması veya yetkisiz erişim şüphesi durumunda olduğu gibi, hatta bir hırsızlık fark edilmemiş olsa bile, yeni bir cüzdanla yeni bir sunucuya geçmeleri öneriliyor. Bu tür durumlarda, kullanıcilerin tüm makineyi ve üzerinde saklanan tüm gizli anahtarları tehlikede saymaları ve aynı toparlama prosedürlerini uygulamaları şarttır.

Bu kampanyayı yürüten saldırganların açığı ilk kez ne zaman sömürmeye başladıkları bilinmiyor; ancak raporlar yaklaşık 1 Kasım 2026’da yüzeye çıkmaya başladı.

X üzerindeki bir paylaşımında BTCPay Server, en son 2.4.7 sürümünü çalıştıran kullanıcıdan kaynaklanan “güvenilir bir rapor” dahilinde sıcak cüzdan boşaltımı bildirilmediğini belirtti. Bu sürüm, Anthropic’in OSS taraması aracılığıyla tespit edilen bir kritik ve birkaç orta düzey güvenlik açığını gideriyor.

BTCPay Server, ayrıca bu olaylara ilişkin iki cüzdan adresi de paylaştı –

• Bitcoin: bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7
• Litecoin: ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee

“Günlük işlemler için sıcak bir cüzdana ihtiyacınız varsa, sunucuda yalnızca bu işlemler için gereken fonları bulundurun ve gerisini, harcama anahtarları sunucu dışında tutulan bir cüzdana aktarın” diye uyardı.

“BTCPay Server’ı bir barındırma hizmeti sağlayıcısı aracılığıyla çalıştırıyorsanız, eski sürümlerin sömürülmesini önlemek için örneğiniz otomatik olarak kapatılmış olabilir.”

2026 yılının Ağustos ayında BTCPay Server, saldırganlar tarafından fon çalmak için kullanıldığı bildirilen kritik bir açıkların ortaya çıktığını duyurdu. Tüm BTCPay Server sürümlerini etkileyen bu sorun, 2.4.2 sürümünde giderildi. Son saldırı dalgasının aynı açıklarla ilişkili olup olmadığı ise belirsiz.

“Bu sorun, kimlik doğrulaması yapmayan uzaktan bir saldırganın LND için .macaroon kimlik dosyalarına erişmesini sağlayabilir; LND, Lightning Network’in bir uygulamasıdır,” deniyordu Ağustos uyarısında. “Bu kimlikler bir LND düğümünün kontrolünü ele alıp fonları hareket ettirmek için kullanılabilirdi. İncelediğimiz saldırılar yalnızca .macaroon uzantılı dosyaları hedef alıyordu.”

Bu gelişme, kripto para alanında üst üste yaşanan güvenlik ihlalleri ve sömürüleriyle örtüşüyor; bunlar arasında Kuzey Koreli tehdit aktörlerinin Binance’den çaldığı 6,43 milyar dolarlık rekor boyutlu hırsızlık öne çıkıyor. Aynı gün, tahmin piyasası devi Polymarket, DebugBear tarafından geliştirilen yazılımın ele geçirilmesinin ardından 2,65 milyon dolarlık bir sömürüyle karşı karşıya kaldıktan sonra kısa süreliğine ticareti durdurdu.

Donanım cüzancı üreticisi Trezor da uyarıyla takip etti ve CryptoBilis üzerinden 2026 yılında satın alındığı iddia edilen bir Trezor Safe 5 cihazında donanım yerleştirmesi olduğunu öne süren sorumlu ifşa raporu aldığını açıkladı. Bu durum, üçüncü taraf satıcılar aracılığıyla satılan bazı cihazların, mağdurun tohum ifadesini (seed phrase) çalmak ve varlıkları boşaltmak için fiziksel olarak bozulduğu karmaşık bir tedarik zinciri saldırısının parçası olarak değerlendiriliyor.

Mercado Bitcoin Güvenlik Olayını Açıkladı

Pazartesi günü, Brezilya’nın en büyük kripto para borsası Mercado Bitcoin, 49 milyon dolarlık çalınan fonla sonuçlanan bir güvenlik ihlalinin ardından geçici olarak yatırımları ve para çekme işlemlerini durdurduğunu bildirdi.

“Bu anda,涉及的 varlıkların değeri yaklaşık 38 milyon dolardır,” X üzerindeki bir paylaşımda deniyordu. “Tether, Circle, Paxos, BRL1 ve Chainalysis da dahil olmak üzere kripto topluluğu ve stratejik ortaklarla hızlı bir ortaklıkla 11 milyon dolarlık kısmı zaten engelledik.”

“Bloke edilmeye uygun diğer tutarlar tespit edildi ve müdahale çalışmalarına devam ediliyor. Hizmetlerin yeniden başlatılması, tam güvenlik koşullarının sağlanmasıyla mümkün olacak ve bu konuyla ilgili tüm duyurular yalnızca resmi kanallarımız üzerinden yapılacak.”

Tether CEO’su Paolo Ardoino, istikrarlı coin ihracısının olayla bağlantılı olarak 4,5 milyondan fazla USDT’yi dondurduğunu onayladı.