Wichtige Erkenntnisse
- Bitcoin-Nachrichten: BTCPay Server hat einen Angriffsvektor identifiziert, der die Versionen 2.4.1 und älter betrifft.
- Berichten zufolge haben Angreifer Bitcoin-Hot-Wallets leergeräumt, wobei die Gesamthöhe der Verluste nicht bekannt gegeben wurde.
- BTCPay meldete keine glaubwürdigen Wallet-Diebstähle im Zusammenhang mit seiner neuesten Softwareversion 2.4.7.
BTCPay Server identifizierte nach Berichten über Diebstähle von Bitcoin-Wallets eine Sicherheitslücke, die auf ältere Softwareversionen abzielte. Diese Entwicklung fügte den Bitcoin-Nachrichten am Montag, dem 2. November, einen weiteren Sicherheitsvorfall hinzu.
Der Bitcoin-Zahlungsdienstleister teilte mit, dass Angreifer Instanzen ins Visier genommen hätten, auf denen die Version 2.4.1 oder früher lief. Seine Untersuchungen ergaben jedoch keine glaubwürdigen Berichte über Wallet-Diebstähle im Zusammenhang mit der neuesten Version 2.4.7.
Das Projekt forderte die Betreiber nachdrücklich auf, ihre Installationen zu aktualisieren und Verdachtsfälle zu melden. BTCPay gab weder die Anzahl der Betroffenen noch die Gesamtsumme der gestohlenen Gelder bekannt. Unterdessen gewann das Update zudem an Bedeutung, nachdem der jüngste Hackerangriff auf Binance den gesamten Kryptomarkt erschüttert hatte.
Bitcoin-Nachrichten: BTCPay-Server identifiziert Angriffsvektor in älteren Versionen
BTCPay Server bestätigte die Ergebnisse in einer offiziellen Erklärung auf X am 2. November. Im Rahmen seiner Untersuchung wurde ein Angriffsvektor identifiziert, der Software betrifft, die am oder vor dem 23. Juli 2026 veröffentlicht wurde.
Zu den betroffenen Versionen gehörten 2.4.1 und frühere Versionen. Das Projekt hatte den technischen Mechanismus hinter dem jüngsten Angriff bislang nicht öffentlich erläutert.
Diese Bitcoin-Meldung folgte auf eine frühere Warnung bezüglich unbefugter Abhebungen aus den Bitcoin-Hot-Wallets der Betreiber. BTCPay forderte die betroffenen Betreiber zunächst auf, ihre Serverinstanzen herunterzufahren, während die Ermittler die Vorfälle untersuchten. Die Plattform stellte zudem Anweisungen zum Herunterfahren bereit, um den Betreibern bei der Reaktion auf mögliche Sicherheitsverletzungen zu helfen.
Die Ermittler hatten jedoch nicht offengelegt, wie sich die Angreifer Zugang zu den betroffenen Wallets verschafft hatten. BTCPay hielt zudem Informationen über die Anzahl der kompromittierten Installationen und der gestohlenen Bitcoin zurück. Das Projekt bat betroffene Nutzer, relevante Informationen und Serverprotokolle an [email protected] zu senden.
Diese noch offenen Details schränkten die öffentlich zugänglichen Ergebnisse der Untersuchung ein. Sie verhinderten zudem eine unabhängige Einschätzung der finanziellen Auswirkungen des Angriffs.
Bitcoin-Nachrichten: Neuestes BTCPay-Update folgt auf Sicherheitskorrekturen
Das GitHub-Repository des BTCPay-Servers bestätigte, dass die Entwickler am 29. Oktober die Version 2.4.7 veröffentlicht haben. Die Veröffentlichung behob Probleme in den Bereichen Sicherheit, Zuverlässigkeit und Zahlungsabrechnung. Die Entwickler empfahlen ein Update, insbesondere für Server, die mehrere Händler unterstützen.
In den GitHub-Versionshinweisen wurden 85 Sicherheitsprobleme dokumentiert, die durch das Update behoben wurden. Darunter befanden sich ein kritisches, 13 Probleme mit hohem Schweregrad, 52 mit mittlerem Schweregrad und 19 mit geringem Schweregrad.
Die Korrekturen betrafen Authentifizierungskontrollen, Anwendungsberechtigungen, Wallet-Vorgänge und Funktionen zur Zahlungsabwicklung. In der Bitcoin-Meldung des Projekts wurde jedoch nicht angegeben, welche konkrete Schwachstelle die gemeldeten Abhebungen aus der Hot Wallet ermöglicht hatte. Folglich ging aus den vorliegenden Erklärungen nicht hervor, ob eine der dokumentierten Korrekturen direkt auf den jüngsten Angriff abzielte.
BTCPay meldete jedoch keine glaubwürdigen Fälle von Abflüssen aus Hot Wallets bei Installationen, auf denen die Version 2.4.7 lief. Diese Einschätzung basierte auf gemeldeten Vorfällen und stellte keine Garantie gegen zukünftige Angriffe dar. Diese Unterscheidung blieb relevant, da die Plattform weiterhin Beweismaterial von betroffenen Nutzern sammelte.
Sicherheit von Bitcoin-Hot-Wallets steht erneut im Fokus
BTCPay Server fungiert als Open-Source-Zahlungsabwickler für Kryptowährungen ohne Verwahrung. Händler können Bitcoin-Zahlungen direkt entgegennehmen, ohne die Verwahrung an einen Zahlungsmittler zu übertragen. In der Wallet-Dokumentation wird jedoch zwischen Hot Wallets und extern verwalteten Wallets unterschieden.
Bei Hot Wallets werden die Signaturdaten auf dem Server gespeichert, sodass Betreiber Zahlungen über die Benutzeroberfläche autorisieren können. Diese Vorgehensweise birgt ein Sicherheitsrisiko, wenn Angreifer ein Konto oder einen Server kompromittieren.
Der Vorfall im Zusammenhang mit den Bitcoin-Nachrichten der Plattform verdeutlichte diesen Unterschied, ohne jedoch die genaue Zugriffsmethode der Angreifer zu ermitteln. Die Dokumentation von BTCPay unterstützt zudem Hardware-Wallets und Konfigurationen, bei denen private Schlüssel außerhalb des Servers aufbewahrt werden.
Betreiber, die externe Wallets verwenden, können Zahlungen über erweiterte öffentliche Schlüssel empfangen. Bei diesen Konfigurationen ist es in der Regel nicht erforderlich, private Signaturschlüssel gegenüber dem Zahlungsserver offenzulegen. Dennoch warnt BTCPay davor, dass kompromittierte Hosting-Umgebungen andere zahlungsbezogene Risiken mit sich bringen können.
Diese Unterschiede sind bei der Einschätzung der potenziellen Reichweite eines Krypto-Hacks von Bedeutung. Eine kompromittierte Zahlungsinstallation bedeutet nicht automatisch, dass Angreifer extern verwahrte Gelder ausgeben können.
Früherer Lightning-Exploit zielte auf Anmeldedaten ab
Der Vorfall im November folgte auf eine separate Sicherheitslücke bei BTCPay im August, die den Lightning Network Daemon (LND) betraf. Am 7. August bestätigte BTCPay, dass Angreifer eine kritische Schwachstelle ausnutzten, um an LND-Anmeldedaten-Dateien zu gelangen.
Die Dateien enthielten Macaroon-Anmeldedaten, die zur Steuerung von Lightning-Knoten und zur Autorisierung von Vorgängen verwendet wurden. BTCPay erklärte, dass Angreifer die offengelegten Anmeldedaten nutzen könnten, um betroffene Knoten zu kontrollieren und Gelder zu transferieren.
Das Projekt bestätigte, dass Angreifer die Schwachstelle ausnutzten und Gelder von Nutzern entwendeten. Mit Version 2.4.2 wurde die Sicherheitslücke behoben und LND auf Version 0.21.1 aktualisiert.
Das Update generierte zudem automatisch neue Macaroon-Zugangsdaten bei Standardinstallationen von BTCPay. BTCPay riet den Betreibern, nicht autorisierte Zahlungen, unerwartete Kanalschließungen, unbekannte Peers und Unstimmigkeiten in ihren Kontoständen zu überprüfen.
Zudem wurde der öffentliche LND-Zugriff auf Docker-Bereitstellungen über BTCPay-Domains und Tor-Onion-Adressen vorübergehend eingeschränkt. Betreiber, die separat verwaltete Reverse-Proxys oder weitergeleitete Ports nutzten, mussten ihre Zugangsdaten selbst regelmäßig ändern. BTCPay stellte klar, dass die im August bekannt gewordene Sicherheitslücke keine Auswirkungen auf reguläre On-Chain-Wallets, einschließlich Hot Wallets, hatte.
Der jüngste Vorfall im Zusammenhang mit Bitcoin betraf unbefugte Abhebungen aus Bitcoin-Hot-Wallets und nicht offengelegte Lightning-Zugangsdaten. BTCPay hat bislang nicht geklärt, ob der Angriff im November in irgendeinem technischen Zusammenhang mit der Sicherheitslücke vom August stand.
Im Rahmen der Untersuchung konnte bislang weder die Anzahl der betroffenen Betreiber ermittelt noch die Höhe ihrer Verluste beziffert werden. Vorerst hat BTCPay die betroffene Softwareversion identifiziert und die Betreiber dringend aufgefordert, die Version 2.4.7 zu installieren.
