Bitcoin ile ödeme almak isteyen işletmelerin aracı kullanmadan kendi sunucularında çalıştırdığı açık kaynaklı yazılım BTCPay Server, hafta sonunu bir güvenlik alarmıyla kapattı. Gece yarısından kısa süre sonra bazı kurulumlardaki sıcak cüzdanların yetkisiz kişilerce boşaltıldığı duyuruldu ve operatörlerden sunucularını hemen kapatmaları istendi. Sabah saatlerinde gelen resmî açıklamaya göre saldırı eski sürümleri hedefliyor. Güncel 2.4.7 sürümünde güvenilir bir kayıp bildirimi yok. Kaç mağazanın etkilendiği ve toplam kayıp ise henüz açıklanmadı.
BTCPay tarafında gece boyunca neler oldu?
İlk uyarı BTCPay Server’ın resmî X hesabından 2 Kasım 01.25 TSİ’de geldi. Mesaj kısaydı: sıcak cüzdanların süpürüldüğüne dair bildirimler alınıyordu ve inceleme bitene kadar sunucuların kapatılması gerekiyordu. Etkilenen sürüm, saldırı yöntemi ya da yama bilgisi ilk mesajda yer almıyordu.
Belirsizlik birkaç saat sürdü. BTCPay’in kurucusu Nicolas Dorier, 03.28 TSİ’de kendi hesabından yaptığı paylaşımda ekibin 2.4.7 sürümünde çalışan sunucularına saldırı olmadığını, bildirimlerin 2.4.2’den eski kurulumlardan geldiğini yazdı. Dorier’e göre saldırgan bu sunuculara yönetici hesabıyla giriş yapmıştı, ancak bu yetkiyi nasıl ele geçirdiği o saatte bilinmiyordu.
| Saat (TSİ) | Gelişme |
|---|---|
| 2 Kasım 01.25 | BTCPay Server resmî X hesabı, sıcak cüzdanların yetkisiz kişilerce boşaltıldığına dair bildirimler aldığını duyurdu ve operatörlerden sunucularını ./btcpay-down.sh komutuyla kapatmalarını istedi. |
| 2 Kasım 03.28 | Projenin kurucusu Nicolas Dorier, 2.4.7 sürümündeki kendi sunucularına saldırı olmadığını, bildirimlerin 2.4.2’den eski kurulumlardan geldiğini ve saldırganın bu sunuculara yönetici olarak girdiğini yazdı. |
| 2 Kasım 07.07 | Resmî hesap, saldırı yönteminin 2.4.1 ve daha eski sürümleri hedeflediğini, en güncel 2.4.7’de güvenilir bir boşaltma bildirimi olmadığını açıkladı. Barındırma firmalarının eski kurulumları kendiliğinden kapattığını da ekledi. |
| 2 Kasım 07.10 | Dorier, ayrıntılı bir blog yazısı geleceğini, 2.4.2 çıktıktan sonra en az bir kez güncelleme yapanların paniğe kapılmasına gerek olmadığını söyledi. |
| 2 Kasım 07.13 | Dorier, saldırgana ait olduğunu belirttiği Bitcoin adresini paylaştı. |
| 2 Kasım 07.22 | Dorier, bir kullanıcıya verdiği yanıtta tüm bildirimleri taradıklarını ve 2.4.2’nin üzerindeki bir sürümü kullananların etkilenmediğini yazdı. |
| 2 Kasım 07.44 | Dorier, saldırganın Litecoin ağındaki adresini de paylaştı. |
Sabah 07.07’de resmî hesaptan gelen güncellemede olay müdahale incelemesinin, 23 Temmuz 2026 tarihli 2.4.1 ve daha eski sürümleri hedefleyen bir saldırı yolu bulduğu açıklandı. Aynı mesaja göre en güncel 2.4.7’yi kullananlardan güvenilir bir boşaltma bildirimi gelmedi. Barındırma hizmeti üzerinden BTCPay kullananların sunucuları ise kendiliğinden kapatılmış olabilir. BTCPay ekibi, LunaNode başta olmak üzere bu firmalara hızlı davrandıkları için teşekkür etti. Bitcoin.com’un haberine göre ödeme ve hediye kartı şirketi Coincards da kendi kurulumlarını çevrim dışına aldı.
Dorier 07.10’da daha ayrıntılı bir blog yazısı yayımlanacağını duyurdu. 2.4.2 çıktıktan sonra en az bir kez güncelleme yapanlar için panik gerektiren bir durum olmadığını söyledi. Kullanıcılara sık güncelleme yapmalarını ve sıcak cüzdanda fazla para tutmamalarını önerdi. Üç dakika sonra da saldırgana ait olduğunu söylediği adresi paylaştı. Saat 07.22’de bir kullanıcıya verdiği yanıtta gelen tüm bildirimleri gözden geçirdiklerini ve 2.4.2’nin üzerindeki bir sürümde çalışanların etkilenmediğini yazdı. 07.44’te ise saldırganın Litecoin adresini de paylaştı; yani saldırı yalnızca Bitcoin cüzdanlarıyla sınırlı kalmamış olabilir. Bu son nokta, Dorier’in paylaşımından çıkardığımız bir yorumdur; ekip henüz ayrıntı vermedi.
Sıcak cüzdan neden hedef oldu?
BTCPay’de mağaza sahibi iki yol arasında seçim yapabiliyor. Birincisinde sunucu yalnızca açık anahtarı, yani adres üretmeye yetecek bilgiyi tutuyor; parayı harcamak için gereken özel anahtar sahibin kendi donanım cüzdanında kalıyor. İkincisinde, yani sıcak cüzdan kurulumunda, kurtarma ifadesi sunucuda duruyor. Bu yapı iade ve ödeme gibi işlemleri otomatik yapmayı kolaylaştırıyor. Bedeli de şu: sunucuyu yönetici olarak ele geçiren biri parayı da hareket ettirebiliyor. Dorier’in “saldırgan yönetici olarak giriş yaptı” tespiti bu yüzden önemli.
Ağustos’taki olayla bu farkı akılda tutmakta yarar var. O dönem 2.4.2 ile kapatılan açık, kimlik doğrulaması olmadan Lightning altyapısı LND’nin yetki dosyalarının (macaroon) çalınmasına imkân veriyordu. Bazı kullanıcıların Lightning düğümleri bu yolla boşaltılmıştı. Proje o zamanki uyarısında zincir üstü sıcak cüzdanların bu hatadan etkilenmediğini belirtmişti. Bu kez hedef doğrudan zincir üstü sıcak cüzdanlar.
Sürüm geçmişi: 2.4.2’den 2.4.7’ye
BTCPay’e yönelik saldırıda hangi açığın kullanıldığı resmî olarak henüz açıklanmadı. Ancak yazılımın son üç ayı, güncelleme yapmayan kurulumların neden daha savunmasız kaldığını gösteriyor. 2.4.2 sürüm notlarında, Greenfield API’nin Basic kimlik doğrulaması üzerinden iki aşamalı doğrulamanın atlatılabildiği bir hatanın düzeltildiği ve bu doğrulama türünün varsayılan olarak kapatıldığı yazıyor. Hatanın bildirimi Bitcoin Red Team çalışmasındaki araştırmacılardan gelmişti. Bu hatanın bugünkü saldırıyla bağlantısı doğrulanmış değil. Yine de eski sürümde kalan bir sunucunun hangi korumalardan yoksun olduğunu gösteriyor.
| Sürüm | Tarih | Öne çıkan değişiklik |
|---|---|---|
| 2.4.1 | 23 Temmuz 2026 | Resmî açıklamaya göre saldırının hedeflediği en yeni sürüm |
| 2.4.2 | 7 Ağustos 2026 | Aktif olarak istismar edilen kritik açık kapatıldı; Greenfield Basic kimlik doğrulaması üzerinden iki aşamalı doğrulamayı (TOTP) atlatma hatası giderildi |
| 2.4.3 – 2.4.6 | 24 Ağustos – 26 Ekim 2026 | Art arda güvenlik ve sağlamlaştırma güncellemeleri |
| 2.4.7 | 29 Ekim 2026 | Anthropic’in açık kaynak tarama programının bildirdiği 85 bulgu düzeltildi (1 kritik, 13 yüksek, 52 orta, 19 düşük) |
29 Ekim’de çıkan 2.4.7 ise yapay zekâ destekli kod taramasının açık kaynak projelere etkisini gösteren bir örnek oldu. Sürüm, Anthropic’in programıyla bulunan 85 sorunu tek seferde kapattı. Proje Ağustos’taki olaydan sonra yazdığı blog yazısında da yapay zekânın saldırganla savunan arasındaki dengeyi değiştirdiğini kabul etmişti. Kod taramak ucuzlayıp hızlandıkça, bilinen bir açığı kapatan güncelleme ile o açığın istismar edilmesi arasındaki süre de kısalıyor. Bu, kendi sunucusunu işleten herkes için güncellemeyi ertelemenin bedelinin arttığı anlamına geliyor.
Kayıp ne kadar?
Resmî bir kayıp rakamı ya da etkilenen mağaza sayısı yok. Dorier’in paylaştığı adresin blokzincir geçmişi 30 Ekim’den beri yüzlerce işlem gösteriyor. Ancak bu işlemlerin bir kısmı aynı paranın yeniden yönlendirilmesi ve para üstü çıktıları. Bu yüzden adrese giren toplam tutar kayıp olarak okunmamalı. BTCPay ekibi etkilenen kullanıcılardan ayrıntıları security@btcpayserver.org adresine göndermelerini istiyor.
Olay Bitcoin ağının kendisiyle ilgili bir sorun değil. Etkilenen şey, ağ üzerinde ödeme alan yazılımın eski kurulumları. Son günlerde kripto tarafındaki güvenlik gündemi yoğun. Cüzdan yazılımlarındaki benzer bir uyarıyı Electrum 4.8.3 güncellemesi haberimizde, tarayıcı eklentisinden anahtar sızan bir vakayı da Fearless Wallet yazımızda anlatmıştık.
BTCPay kullanan işletmeler ne yapmalı?
BTCPay kurulumu 2.4.1 veya daha eski bir sürümdeyse sunucuyu kapalı tutup güncel sürüme geçmek ilk adım. Barındırma firması kurulumu zaten kapattıysa yeniden açmadan önce firmayla ve projenin resmî kanallarıyla iletişim kurmak gerekiyor. Sıcak cüzdan kullananların, sunucuya erişim sağlanmış olabileceğini varsayarak yeni bir cüzdan oluşturup kalan bakiyeyi oraya taşımaları ve yönetici şifresi ile API anahtarlarını yenilemeleri, bizim değerlendirmemize göre temkinli bir yaklaşım olur. Uzun vadede ise sunucuda yalnızca günlük işlemlere yetecek kadar bakiye tutmak, fazlasını düzenli olarak soğuk cüzdana aktarmak öneriliyor. Projenin resmî sitesi ve blogu yeni ayrıntılar için izlenecek ilk yerler.
Kaynaklar
- BTCPay Server, X: ilk uyarı (2 Kasım 2026, 01.25 TSİ)
- Nicolas Dorier, X: 2.4.7 sunucularına saldırı olmadığı açıklaması (03.28 TSİ)
- BTCPay Server, X: 2.4.1 ve öncesini hedefleyen saldırı yolu (07.07 TSİ)
- Nicolas Dorier, X: blog yazısı ve güncelleme çağrısı (07.10 TSİ)
- Nicolas Dorier, X: saldırgan adresi (07.13 TSİ)
- BTCPay Server GitHub sürüm notları (2.4.2 ve 2.4.7)
- BTCPay Blog: 2.4.2 güvenlik bildirimi (7 Ağustos 2026)
- BTCPay Blog: Güvenlik olayı, yanıt ve sonraki adımlar (Ağustos 2026)
- Bitcoin.com News: BTCPay sıcak cüzdan hırsızlığı bildirimleri (2 Kasım 2026)
- TokenPost: Dorier’in eski sürüm açıklaması (2 Kasım 2026)
- Nicolas Dorier, X: 2.4.2 üzerindeki sürümlerin etkilenmediği yanıtı (07.22 TSİ)
- Nicolas Dorier, X: saldırganın Litecoin adresi (07.44 TSİ)
Yatırım tavsiyesi değildir. Bu yazı yalnızca bilgilendirme amaçlıdır; kripto paralar yüksek risk taşır, karar vermeden önce kendi araştırmanızı yapın.
📚 Yazarın Kitapları
Bilge Yatırımcı
Piyasa analizi, portföy yönetimi ve risk değerlendirmesi için pratik bir rehber.
Geleceğine Yatırım
Teknoloji ve geleceğin trendlerine odaklanan stratejik yatırım fikirleri.
