Para pendukung BTCPay Server telah mendukung hadiah pemulihan yang setara dengan 10% dari dana yang berhasil diambil dari eksploitasi dompet Lightning baru-baru ini, dengan hadiah dibatasi pada 3 BTC jika semua aset yang dicuri berhasil dipulihkan.
Proyek BTCPay Server pada hari Senin mengatakan bahwa hadiah tersebut adalah bagian dari tanggapannya terhadap celah keamanan kritis yang mengekspos kredensial administrator LND pada instalasi yang rentan, beberapa hari setelah pengguna diminta untuk segera memperbarui ke versi 2.4.2.
Pemroses pembayaran Bitcoin open-source tersebut belum mengungkapkan berapa banyak mata uang kripto yang dicuri atau berapa banyak server yang disusupi. Namun, beberapa pengguna yang terkena dampak, termasuk Foundation dan Citadel21, telah melaporkan bahwa dana yang tersimpan di node Lightning mereka telah terkuras.
BTCPay mengatakan kerentanan tersebut memengaruhi semua rilis sebelum versi 2.4.2, termasuk versi kandidat rilis 2.4.2. Cacat ini memungkinkan penyerang untuk mendapatkan kredensial macaroon admin LND dari instance BTCPay yang terekspos dan kemudian mengakses dompet yang terhubung ke node Lightning yang terpengaruh.
Macaroon berfungsi sebagai kredensial autentikasi untuk node Lightning, dengan macaroon administrator menyediakan izin luas atas dompet terkait. Oleh karena itu, akses ke kredensial tersebut dapat memungkinkan pihak yang tidak berwenang untuk mengontrol dana yang disimpan melalui pengaturan LND yang terpengaruh.
Setelah penemuan tersebut, BTCPay merilis versi final 2.4.2 dengan perbaikan untuk kerentanan tersebut dan mendesak operator yang menjalankan versi lama untuk memperbarui server mereka.
Proyek tersebut mengatakan masalah keamanan tersebut spesifik untuk kredensial LND dan tidak mengekspos pengguna yang menjalankan implementasi Lightning lainnya melalui jalur serangan yang sama. Operator yang tidak menggunakan Lightning juga tidak terpengaruh oleh masalah kredensial LND, meskipun BTCPay merekomendasikan agar semua pengguna menginstal rilis terbaru.
Dompet onchain BTCPay tidak disusupi melalui kerentanan tersebut, termasuk dompet panas onchain yang dikelola oleh pengguna perangkat lunak, menurut proyek tersebut.
Perbedaan ini membatasi jalur serangan yang diketahui pada dompet LND yang terhubung daripada seluruh jangkauan dana Bitcoin yang dapat dikelola melalui instalasi BTCPay.
Meskipun BTCPay belum merilis angka kerugian, laporan dari masing-masing pengguna telah mengonfirmasi bahwa eksploitasi tersebut mengakibatkan dana dicuri. Proyek tersebut sedang mempersiapkan laporan pascamortem lengkap yang diharapkan akan memberikan informasi lebih lanjut tentang kerentanan dan tanggapannya.
BTCPay juga telah mulai memperkenalkan prosedur pemindaian kode dan peninjauan yang lebih kuat dengan bantuan dari beberapa organisasi eksternal.
Tindakan tanggapan ini menyusul tahun yang sulit untuk keamanan kripto. Pada bulan April, crypto.news melaporkan bahwa CertiK telah mencatat kerugian kripto lebih dari $600 juta selama tahun 2026 pada saat itu, sementara firma keamanan tersebut memperingatkan bahwa serangan yang dibantu AI dan kelemahan dalam infrastruktur menjadi risiko penting bagi proyek.
Selain hadiah pemulihan, Yayasan BTCPay Server juga membayar hadiah kepada para peneliti yang mengidentifikasi kerentanan tersebut sebelum diungkapkan secara publik.
Yayasan tersebut menyumbangkan masing-masing 0,21 BTC kepada pengembang Sparrow Wallet Craig Raw dan dana Bitcoin Red Team. Raw menemukan masalah keamanan tersebut dan melaporkannya secara pribadi kepada BTCPay, memungkinkan para pengembang untuk menyiapkan perbaikan sebelum detail cacat tersebut dipublikasikan.
Raw kemudian mengatakan bahwa dia juga terkena dampak eksploitasi tersebut.
Bitcoin Red Team beroperasi sebagai kelompok penelitian keamanan sukarelawan yang anggotanya termasuk Rob Hamilton, Calle, dan Evan Kaloudis. Kelompok ini bekerja untuk menemukan dan melaporkan kerentanan yang memengaruhi perangkat lunak terkait Bitcoin.
Keputusan BTCPay untuk mendanai kedua peneliti ini sejalan dengan hadiah pemulihan terpisah yang didukung oleh para pendukung proyek. Berdasarkan ketentuan yang diusulkan, 10% dari dana yang berhasil dipulihkan dapat dibayarkan sebagai hadiah, sementara pemulihan penuh akan memiliki hadiah maksimum sebesar 3 BTC.
Insentif pemulihan juga muncul setelah eksploitasi kripto lainnya tahun ini. Pada bulan Juli, crypto.news mengkaji upaya untuk memulihkan sekitar 16 juta ADA yang diambil dari 374 dompet Cardano dalam eksploitasi akhir Juni. EMURGO menguraikan proses untuk mengembalikan aset yang terkena dampak sementara tim forensik independen melakukan penyelidikan terpisah terhadap insiden tersebut.
Sebagai bagian dari penilaian awalnya, BTCPay mengemukakan kemungkinan bahwa alat kecerdasan buatan dapat berperan dalam menemukan kode yang rentan.
Proyek tersebut mengatakan model AI yang semakin baik telah mengurangi waktu dan biaya yang dibutuhkan untuk memeriksa repositori perangkat lunak besar untuk mencari kelemahan, mengubah kemampuan yang tersedia bagi penyerang dan peneliti keamanan.
Perangkat lunak Bitcoin menyajikan target yang menarik karena kelemahan yang dapat dieksploitasi dapat memberikan akses langsung ke aset, kata BTCPay, menambahkan bahwa area lain dari industri perangkat lunak pada akhirnya dapat menghadapi masalah serupa seiring dengan semakin mampunya analisis kode berbasis AI.
Kekhawatiran terhadap serangan yang dibantu AI telah muncul di sektor kripto lainnya. CertiK melaporkan pada bulan Juni bahwa peretasan dan eksploitasi kripto menyebabkan kerugian $68,3 juta selama Mei, turun hampir 90% dari sekitar $650 juta pada April, tetapi firma tersebut juga mencatat peningkatan malware yang dibantu AI yang menargetkan repositori kode dan alat pengkodean, seperti yang sebelumnya diliput oleh crypto.news.
Analisis keamanan AI pada bulan Juli juga mengkaji bagaimana model yang semakin mampu dapat mengidentifikasi dan mengeksploitasi kerentanan perangkat lunak, dengan teknologi ini hadir selama tahun yang sudah didominasi oleh insiden keamanan kripto besar.
Insiden BTCPay berbeda dari serangan yang sebagian besar didasarkan pada rekayasa sosial atau perangkat penandatanganan yang disusupi karena titik masuknya adalah kerentanan perangkat lunak yang mengekspos kredensial autentikasi LND yang sensitif.
Serangan BTCPay menyusul insiden keamanan Bitcoin besar lainnya yang melibatkan dompet perangkat keras Coldcard, di mana dugaan penggunaan AI untuk memeriksa kode lama juga diangkat setelah dana dicuri.
Setidaknya $116 juta kerugian telah dikonfirmasi dari eksploitasi Coldcard sejauh ini. Coinkite, perusahaan di balik Coldcard, mengatakan mereka menganggap kemungkinan besar seseorang telah menggunakan AI untuk memeriksa firmware lama yang tersedia secara publik dan mengidentifikasi kelemahan tersebut.
Kedua insiden ini telah menempatkan tinjauan kode di bawah perhatian yang meningkat pada saat penyerang telah bergerak melampaui kerentanan kontrak pintar konvensional.
Pada bulan April, crypto.news melaporkan lebih dari $17 miliar hilang di 518 peretasan dan eksploitasi kripto yang didokumentasikan selama dekade sebelumnya, mengutip data DefiLlama. Laporan tersebut menemukan bahwa kebocoran kunci pribadi, pencurian kredensial, phishing, dan serangan terhadap dompet dan infrastruktur telah menjadi sumber kerugian utama di samping cacat pada kontrak pintar.
Chainalysis secara terpisah memperkirakan bahwa penyerang mencuri $36,7 juta dari kontrak pintar yang tidak diverifikasi, sumber tertutup selama enam bulan pertama tahun 2026 dengan mendekompilasi bytecode kontrak. Firma analitik blockchain tersebut menilai bahwa AI kemungkinan besar terlibat dalam aktivitas ini.
Untuk pengguna BTCPay, perbaikan segera tetap rilis resmi 2.4.2. Proyek tersebut mengatakan akan menerbitkan laporan pascamortem yang lebih rinci tentang eksploitasi tersebut sementara prosedur pemindaian dan peninjauan kode barunya sedang dikembangkan dengan organisasi eksternal.
