BTCPay Server'da Eski Sürümler Hedefte: Sıcak Cüzdanlar Boşaltıldı

Açık kaynaklı Bitcoin ödeme yazılımı BTCPay Server, 2 Kasım 2026 gecesi bazı sunuculardaki sıcak cüzdanların (hot wallet; işlem imzalamak için anahtarı internete bağlı sunucuda tutulan cüzdan) yetkisiz saldırganlarca boşaltıldığına dair bildirimler aldığını duyurdu. Proje, inceleme bitene kadar kullanıcılardan sunucularını kapatmalarını istedi. Birkaç saat sonra yaptığı açıklamada saldırı yolunun 23 Temmuz 2026 tarihli 2.4.1 ve daha eski sürümleri hedef aldığını, güncel 2.4.7 sürümünü kullananlardan güvenilir bir bildirim gelmediğini belirtti. Kendi barındırılan (self-hosted; yazılımın kullanıcının kendi sunucusunda çalıştığı) bu tür sistemlerde güncelleme sorumluluğu sunucuyu işletende olduğu için güncellenmeyen sunucular doğrudan para kaybı riski taşıyor.

Ne oldu

BTCPay Server'ın resmi açıklamalarına göre süreç şöyle gelişti:

• 2 Kasım 2026 01.25 TSİ (1 Kasım 22.25 UTC): Projenin resmi hesabı, sunuculardaki sıcak cüzdanların yetkisiz saldırganlarca boşaltıldığına dair bildirimler aldıklarını duyurdu. Sunucu çalıştıran herkesten inceleme tamamlanana kadar sunucusunu kapatmasını (./btcpay-down.sh) istedi.
• 2 Kasım 2026 03.28 TSİ: Projenin kurucu ortağı, 2.4.7 sürümünü çalıştıran projeye ait açık sunuculara saldırı olmadığını, bildirimlerin 2.4.2 öncesi sürümlerle ilgili göründüğünü açıkladı. Kurucu ortağa göre saldırgan bu sunucularda yönetici (admin) olarak oturum açmayı başardı. Bunu nasıl yaptığı hâlâ araştırılıyor.
• 2 Kasım 2026 07.07 TSİ: Proje, olay müdahale incelemesinin 2.4.1 ve daha eski sürümleri çalıştıran sunucuları hedef alan bir saldırı yolu belirlediğini açıkladı. En güncel 2.4.7 sürümünü kullananlarda sıcak cüzdan boşaltıldığına dair güvenilir bir bildirim bulunmadığını belirterek herkese yazılımı güncel tutma çağrısı yaptı. crypto.news ve TokenPost'a göre etkilenenlerden ayrıntıları ve sistem kayıtlarını (log) security@btcpayserver.org adresine göndermeleri istendi.
• Aynı saatlerde proje, barındırma sağlayıcısı üzerinden çalışan sunucuların eski sürümlerin istismar edilmesini önlemek için otomatik olarak kapatılmış olabileceğini duyurdu ve LunaNode ile diğer sağlayıcılara teşekkür etti.

Kurucu ortak, ayrıntılı bir blog yazısı yayımlanacağını, 2.4.2 çıktıktan sonra en az bir kez güncelleme yapanlar için endişeye gerek olmadığını söyledi. Sık güncelleme yapılmasını ve sıcak cüzdanda fazla tutar bırakılmamasını önerdi.

Neler açıklanmadı

Saldırganın yönetici erişimini nasıl elde ettiği ve saldırı yolunun teknik ayrıntıları açıklanmadı. Ne kadar Bitcoin çekildiği, kaç sunucunun etkilendiği ve kaç kullanıcının kayıp bildirdiği de bilinmiyor. Çekilen fonların geri alındığına dair bir açıklama da yok. crypto.news'e göre projenin açıklaması, 2.4.7 öncesindeki her sürümün ele geçirildiği ya da eski sürüm çalıştıran her sunucuda kayıp yaşandığı anlamına gelmiyor. 2 Kasım 2026 sabahı itibarıyla projenin blogunda olayla ilgili bir yazı yayımlanmamıştı.

Sürüm geçmişi

GitHub kayıtlarına göre 2.4.1 sürümü 23 Temmuz 2026'da, 2.4.7 sürümü ise 29 Ekim 2026'da yayımlandı. 2.4.7 sürüm notlarına göre bu sürümde, Anthropic'in OSS Scanner programı üzerinden bildirilen 85 güvenlik bulgusu düzeltildi. Proje, güncellemeyi özellikle birden çok satıcının paylaştığı sunucular için önerdi.

Ağustos 2026'da yayımlanan 2.4.2 sürümü ise aktif olarak istismar edilen kritik bir açığı kapatmıştı. Projenin 7 Ağustos 2026 tarihli güvenlik bildirimine göre o açık, Lightning ağı yazılımı LND'nin kimlik dosyalarının ele geçirilmesine izin veriyordu. O olayda sıcak cüzdanlar dahil zincir üstü (on-chain) cüzdanlar etkilenmemişti. Proje, Kasım saldırılarıyla bu düzeltmeler arasında bir bağ olup olmadığını açıklamadı.

Türkiye açısından

Kaynaklarda Türkiye'den etkilenen bir işletme ya da kullanıcıya dair bilgi yer almıyor. Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde 2 Kasım 2026 sabahı itibarıyla BTCPay Server ile ilgili bir kayıt bulunmuyor.

Türkiye Cumhuriyet Merkez Bankası'nın 16 Nisan 2021 tarihli Resmî Gazete'de yayımlanan yönetmeliğine göre kripto varlıklar ödemelerde doğrudan veya dolaylı olarak kullanılamıyor. Bu nedenle BTCPay benzeri araçlar Türkiye'de yaygın bir ödeme yöntemi değil. Yine de kendi sunucusunda kripto cüzdanı ya da ödeme altyapısı çalıştıran geliştiriciler ve yurt dışına satış yapan işletmeler için ders aynı: eski sürüm, internete açık yönetim paneli ve sunucuda tutulan imza anahtarı bir araya geldiğinde doğrudan para kaybı riski doğuyor. Kripto altyapısında üçüncü taraf bir bileşen üzerinden yaşanan bir başka kaybı Polymarket haberimizde aktarmıştık.

BTCPay Server kullanıyorsanız

• Kullandığınız sürümü kontrol edin ve 2.4.7 sürümüne güncelleyin.
• Hemen güncelleyemiyorsanız sunucuyu ./btcpay-down.sh komutuyla kapatın.
• Sıcak cüzdanda yalnızca günlük ihtiyaç kadar tutar bırakın. Fazlasını soğuk depolamaya (anahtarların çevrim dışı tutulduğu saklama) taşıyın.
• Sunucunuz bir barındırma sağlayıcısındaysa, sağlayıcının sunucuyu önlem olarak kapatmış olabileceğini unutmayın ve sağlayıcınızla iletişime geçin.
• Yönetici hesaplarını ve açık oturumları gözden geçirin.
• Sıcak cüzdanınızda yetkisiz bir işlem fark ettiyseniz ayrıntıları ve sistem kayıtlarını security@btcpayserver.org adresine gönderin.

Kaynaklar

• BTCPay Server — resmi X hesabı, ilk uyarı (2 Kasım 2026)
• BTCPay Server — resmi X hesabı, saldırı yolu güncellemesi (2 Kasım 2026)
• BTCPay Server — GitHub, v2.4.7 sürüm notları (29 Ekim 2026)
• BTCPay Server Blog — Security Advisory: Update BTCPay Server to 2.4.2 Immediately (7 Ağustos 2026)
• crypto.news — BTCPay Server warns of wallet drains, urges server shutdowns (2 Kasım 2026)
• TokenPost — BTCPay Server Identifies Attack Vector in Versions 2.4.1 and Earlier (2 Kasım 2026)
• Resmî Gazete — TCMB Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik (16 Nisan 2021)

Kapak görseli (temsili): «Close-up of a Bitcoin physical coin in a woman's hand and a laptop on her lap» — Shixart1985, CC BY 2.0, Wikimedia Commons (1200×675 kırpıldı).