Malam 1 November, peringatan pertama BTCPay Server bunyinya keras: matikan servernya. Laporan sudah masuk bahwa dompet panas di beberapa instalasi terkuras, dan proyek pembayaran bitcoin open source itu belum tahu celahnya. Sehari kemudian gambarannya mengerucut. Investigasi menemukan serangan itu menyasar instalasi yang menjalankan versi 2.4.1 atau lebih lama. Versi terbaru, 2.4.7, sejauh ini tidak punya laporan pengurasan yang kredibel. Pesannya pun berubah: bukan lagi matikan server, tapi perbarui sekarang. Dan bagi yang masih di versi lama, pembaruan saja belum cukup.
Yang diserang, dan yang belum terjawab
BTCPay Server dipakai pedagang dan layanan yang menerima bitcoin langsung ke dompet sendiri, tanpa perantara kustodian. Karena sifatnya self-hosted, menambal perangkat lunak menjadi tanggung jawab operator, bukan sesuatu yang bisa didorong BTCPay dari jauh. Pendiri proyek, Nicolas Dorier, bilang serangan itu tidak menyasar server publik. Penyelidikan berfokus pada bagaimana penyerang bisa masuk sebagai administrator di instalasi yang menjalankan versi lebih lama dari 2.4.2.
Versi 2.4.2, rilis 7 Agustus 2026, menambal kerentanan kritis. Menurut BTCPay, penyerang memakai cara berbeda untuk mengeksploitasi kerentanan yang diperbaiki di versi itu. Bagaimana akses administrator itu didapat masih belum diketahui, dan BTCPay belum mengungkap berapa operator yang terdampak atau berapa total dana yang hilang. Yang sudah dipublikasikan: dua alamat dompet yang dikaitkan dengan insiden, satu Bitcoin dan satu Litecoin. Alamat Bitcoinnya bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7, dan alamat Litecoinnya ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee. Korban diminta mengirim rincian ke security@btcpayserver.org dan melapor ke penegak hukum setempat.
2.4.7, dan kenapa dompet baru ikut disarankan
Versi 2.4.7 sendiri lahir sebagai pembaruan keamanan darurat pada 29 Oktober, setelah pemindai open source Anthropic, Frontier OSS scanner, menemukan satu kerentanan kritis dan beberapa kerentanan menengah. Untuk versi ini, BTCPay bilang belum ada laporan pengurasan dompet panas yang kredibel. Tapi rekomendasi untuk pengguna 2.4.1 atau lebih lama lebih jauh dari sekadar menekan tombol perbarui: pindah ke server baru dengan dompet baru, bahkan bila tidak ada pencurian yang terlihat. Alasannya praktis. Kredensial atau kunci yang sudah bocor tidak otomatis kedaluwarsa begitu perangkat lunak diperbarui.
Aturan praktis yang diulang BTCPay: dompet panas hanya menyimpan dana yang dibutuhkan untuk operasi harian. Sisanya pindah ke dompet yang kunci pengeluarannya tidak tersimpan di server. Operator yang memakai penyedia hosting mungkin mendapati instansinya sudah dimatikan otomatis sebagai pencegahan. Jalur pembaruan resminya lewat Server Settings, Maintenance, Update, atau untuk instalasi Docker lewat skrip btcpay-update.sh lewat SSH.
Insiden kedua dalam tiga bulan
Ini bukan pertama kalinya BTCPay Server berurusan dengan pencurian. Pada Agustus, kerentanan kritis yang memungkinkan penyerang jarak jauh mengambil berkas kredensial LND sudah dieksploitasi, dan proyek itu membatasi akses Lightning jarak jauh. Serangan Agustus itu menyentuh kanal Lightning, bukan dompet panas on-chain. Apakah serangan kali ini berhubungan dengan kerentanan Agustus masih belum jelas, dan BTCPay belum menyatakan keduanya punya akar yang sama. Yang jelas: di perangkat lunak self-hosted, versi lama bukan sekadar ketinggalan fitur. Di sini, versi lama berarti dompet yang bisa dikuras. Pelajaran soal jalur pihak ketiga yang dibajak ada di artikel Polymarket kami. Insiden bursa Brasil yang dananya juga masih dilacak ada di artikel Chainalysis kami.
Sumber: BleepingComputer (2 Nov 2026), The Hacker News (3 Nov 2026), laporan insiden BTCPay Server (2 Nov 2026). Angka dan status adalah potret saat penulisan, 3 November 2026 sore WIB, dan bisa berubah.
Ditulis oleh Mastechon
Nulis soal crypto dan Super Intelligence: kabar pasar, proyek baru, model Super Intelligence, dan peluang awal kayak airdrop dan testnet. Semua tulisan berangkat dari pengumuman resmi, dan biayanya selalu kami hitung di depan.
Dompet SAFU Binance memegang 7.500 BTC, sekitar $580 juta, setelah empat transaksi 31 Oktober memangkas saldo separuh. Binance janji isi ulang tanpa tanggal.
ZachXBT menandai dugaan pencurian $106 juta dari rekening entitas Uni Eropa di beberapa bursa. Dana keluar sebagai stablecoin, lalu ditukar ke ETH dan Monero.
Chainalysis menaksir $49 juta dicuri dari Mercado Bitcoin di 17 blockchain, dan hampir $10 juta sudah dibekukan. Bursa sendiri menyebut $38 juta aset terlibat.
Mulai 3 November, Anthropic menambah tanda tak terlihat ke 4 model Claude lama. Tandanya tak mengubah tulisan, tapi dua model hanya bertanda di setelan bawaan.
Binance menyelesaikan bukti zero-knowledge untuk potret cadangan 31 Oktober: 10 token kini bisa diverifikasi sendiri 1:1. Yang berubah, dan batas bukti ini.
Bursa Brasil menghentikan penarikan pada 2 November usai insiden keamanan. Peneliti melacak $40 juta lebih transfer mencurigakan, belum dikonfirmasi bursa.
Meituan merilis LongCat-2.5 pada 2 November: model multimodal untuk tugas coding yang panjang, dengan skor Terminal Bench 88,4. Angka parameternya dipersoalkan.
ETF Bitcoin spot AS keluar bersih $643,3 juta pada Jumat 30 Oktober, terbesar sejak 25 Juni. Dana Ether keluar $155,9 juta, tapi Bitcoin naik tipis ke $78.491.
Apple dan Alibaba mengumumkan 31 Oktober: Qwen menggerakkan Apple Intelligence edisi Tiongkok. Beta pengembang 4 November, rilis via iOS 27.3 pada Desember.
Penarikan Binance dibuka bertahap 1 November; 9,5 jam pertama mencatat arus keluar bersih $3,64 miliar, 2,1% dari aset yang dilaporkan. Arus sudah menstabil.
Skrip pemantau kecepatan dari DebugBear di situs Polymarket diganti kode jahat pada 29 Oktober. Kode itu memakai sesi trader yang sedang login untuk memindahkan posisi, 726 dompet kena, dan Polymarket mengembalikan $3,9 juta.
DeepSeek merilis prototipe Super-agent open source pada 31 Oktober: agen coding yang mengawasi chat tim dan mengusulkan perbaikan tanpa dipanggil. Ini yang dirilis, batasnya, dan syarat pilot yang aman.
Satelit prototipe Google menjawab prompt pertama dari orbit dengan haiku dari model Gemma 4. Ini yang dibuktikan, batasnya, dan rencana dua satelit pada 2027.
Binance membuka penarikan fase satu 1 November, 95% dari $6,3 miliar yang dicuri sudah diganti. Yang berubah dari jadwal siang tadi, dan yang masih ditunggu.
Binance mengumumkan fase satu pembukaan penarikan hari ini, 1 November, pukul 13.00-16.00 WIB untuk 15 jaringan. Ini jadwalnya, peringatan dari Binance sendiri, dan yang masih ditunggu.
FBI menyatakan Korea Utara bertanggung jawab atas pencurian dari Binance pada 29 Oktober dan meminta industri crypto memblokir ratusan alamat terkait, sementara dana curian sebagian besar diubah menjadi ether.
Platform staking Bitcoin b14g menghentikan kontrak yang terdampak setelah penarikan tak sah 31 Oktober; sekitar 68 juta CORE masih terlacak di jaringan Core dan 9 juta dibekukan bursa, sementara BTC yang di-stake tidak kena.
ICE dan Trade[XYZ] sepakat membangun venue perpetual teregulasi di atas Hyperliquid, HYPE melonjak ke dekat $90, tapi belum ada yang bilang apakah fee dari venue AS itu mengalir ke pemegang HYPE.
Dua hari setelah hack $6,3 miliar, Binance bilang 10 aset besar sudah didukung penuh, sisa 10% masih dicari karena tokennya kurang likuid, dan bukti cadangan lengkap dijanjikan 3 November.
Mistral membuka model 1 triliun parameter buat siapa saja, Google mengunci model nomor 1-nya, Bitcoin stabil setelah hack Binance, plus VPS gratis dan video Super Intelligence gratis yang masih jalan.
Ringkasan yang lagi ramai dibahas di X: hack terbesar dalam sejarah crypto di Binance, reaksi pasar Bitcoin, koin yang trending, dan jendela klaim airdrop yang sedang jalan minggu ini.
Testnet memakai uang palsu, tapi akun dan dompetmu tetap nyata. Ini cara ikut testnet dengan aman: dompet khusus, faucet resmi, dan kebiasaan verifikasi.
