BTCPay Server hat Nutzer dazu aufgefordert, ihre Zahlungsserver herunterzufahren, nachdem Berichte eingegangen waren, dass Angreifer unbefugten Zugriff auf ältere Installationen erlangt und Gelder aus verbundenen Bitcoin-Hot-Wallets abgezogen hatten.
Zusammenfassung
- BTCPay Server hat Betreiber dringend aufgefordert, ihre Zahlungsserver herunterzufahren, nachdem Berichte eingegangen waren, dass Angreifer unbefugten Zugriff erlangt und Gelder aus verbundenen Bitcoin-Hot-Wallets abgezogen hatten.
- Die Untersuchung des Projekts identifizierte einen Angriffsvektor, der Installationen mit Version 2.4.1 oder älter betrifft, während für die neueste Version 2.4.7 keine glaubwürdigen Berichte über Wallet-Abflüsse vorliegen.
- BTCPay-Server-Mitbegründer Nicolas Dorier sagte, es sei Angreifern gelungen, sich mit Administratorrechten bei betroffenen Instanzen anzumelden, obwohl die Ermittler noch nicht festgestellt haben, wie sie Zugriff erlangten.
- Hosting-Anbieter, darunter LunaNode, haben vorbeugende Maßnahmen ergriffen und einige Installationen heruntergefahren, während betroffene Nutzer aufgefordert wurden, Vorfallsdetails und Serverprotokolle einzureichen.
- BTCPay Server hat weder den Gesamtbetrag der gestohlenen Kryptowährung noch die Anzahl der kompromittierten Server bekannt gegeben, und die Untersuchung dauert an.
In einer Sicherheitswarnung vom 2. November erklärte der Open-Source-Bitcoin-Zahlungsabwickler, er untersuche Berichte über unbefugte Wallet-Abhebungen und bitte Betreiber, ihre Instanzen vorübergehend mit dem Skript ./btcpay-down.sh herunterzufahren.
Die Warnung galt zunächst für alle Nutzer, während das Team daran arbeitete, festzustellen, wie Angreifer Zugriff erlangten. Eine anschließende Untersuchung grenzte den vermuteten Angriffsvektor auf Installationen ein, die Version 2.4.1 (veröffentlicht am 23. Juli 2026) oder älter ausführten.
BTCPay Server erklärte, es habe keine glaubwürdigen Berichte über Hot-Wallet-Abflüsse im Zusammenhang mit der neuesten Version 2.4.7 erhalten, und forderte Betreiber dringend auf, ihre Software aktuell zu halten.
Das Projekt hat nicht bekannt gegeben, wie viel Kryptowährung gestohlen wurde, wie viele Server kompromittiert wurden oder wie viele Nutzer Verluste gemeldet haben.
BTCPay Server identifiziert ältere Installationen als Angriffsziele
Laut der neuesten Warnmeldung des Projekts hat seine Incident-Response-Untersuchung einen Angriffsvektor identifiziert, der ältere Versionen der Zahlungssoftware betrifft, obwohl das Team die technische Schwachstelle, die die Eindringlinge ermöglichte, noch nicht öffentlich erläutert hat.
BTCPay Server ist ein selbst gehosteter Kryptowährungs-Zahlungsabwickler, der es Händlern und Einzelpersonen ermöglicht, Bitcoin-Zahlungen zu akzeptieren, ohne auf einen traditionellen Zahlungsintermediär angewiesen zu sein. Betreiber können ihre eigene Zahlungsinfrastruktur verwalten und Wallets verbinden, um Gelder zu empfangen und zu verwalten.
Die gemeldeten Angriffe betrafen Hot Wallets, die mit Online-Systemen verbunden bleiben und zum Senden von Kryptowährungstransaktionen verwendet werden können. Gelder, die in diesen Wallets gehalten werden, können gefährdet sein, wenn Angreifer ausreichenden Zugriff auf die Systeme erlangen, die sie kontrollieren.
In seiner ersten Warnung erklärte BTCPay Server, es erhalte Berichte, dass Hot Wallets von unbefugten Angreifern leergeräumt werden. Ein Wallet-Sweep beinhaltet die Übertragung verfügbarer Gelder von einer oder mehreren Adressen an ein anderes Ziel.
Die Anweisungen des Projekts sahen vor, dass Betreiber ihre Instanzen herunterfahren, während die Untersuchung andauerte. Das spätere Update lieferte genauere Informationen über die betroffenen Softwareversionen und das Fehlen glaubwürdiger Abflussberichte im Zusammenhang mit Version 2.4.7.
Benutzer, die glauben, dass ihre Server kompromittiert wurden, wurden gebeten, Vorfallsdetails und relevante Systemprotokolle an [email protected] zu senden.
Mitbegründer von BTCPay Server sagt, Angreifer erlangten Administratorzugriff
BTCPay Server-Mitbegründer Nicolas Dorier lieferte in einer separaten Erklärung vom 2. November weitere Details zu den vermuteten Eindringlingen.
Dorier sagte, die öffentlichen Server des Projekts, auf denen Version 2.4.7 lief, seien nicht angegriffen worden. Basierend auf den ihm vorliegenden Berichten schienen betroffene Installationen Versionen zu betreiben, die vor 2.4.2 veröffentlicht wurden.
Er erklärte, dass es dem Angreifer gelungen sei, sich mit Administratorrechten bei den betroffenen Instanzen anzumelden, das Team jedoch noch versuche, festzustellen, wie dieser Zugriff erlangt worden sei.
Administratorzugriff kann je nach Softwarekonfiguration und den für das Konto verfügbaren Berechtigungen jemandem die Kontrolle über wichtige Servereinstellungen und -funktionen geben.
Der jüngste Vorfall folgt auf eine frühere Sicherheitsverletzung im August, als BTCPay Server vor einer aktiv ausgenutzten Schwachstelle warnte, die zu gestohlenen Geldern führen könnte.
Wie crypto.news zuvor berichtete, forderte das Projekt die Benutzer auf, sofort auf Version 2.4.2 zu aktualisieren oder ihre Server herunterzufahren, wenn sie den Sicherheitspatch nicht installieren konnten.
Die Schwachstelle vom August ermöglichte es Angreifern, LND-Administrator-Macaroon-Anmeldeinformationen von betroffenen Installationen zu erlangen und auf verbundene Lightning-Wallets zuzugreifen. BTCPay Server erklärte, der Fehler habe keine gewöhnlichen On-Chain-Wallets, einschließlich Hot Wallets, kompromittiert.
Das Projekt kündigte anschließend eine Wiederbeschaffungsprämie in Höhe von 10 % der wiederbeschafften Gelder an, begrenzt auf 3 BTC, falls alle gestohlenen Vermögenswerte zurückgeholt würden.
Die BTCPay Server Foundation verpflichtete sich zu jeweils 0,21 BTC für den Sparrow Wallet-Entwickler Craig Raw und den Bitcoin Red Team-Fonds für die Entdeckung und Meldung der früheren Schwachstelle.
Hosting-Anbieter fahren einige BTCPay Server-Instanzen herunter
Nach der jüngsten Warnung begannen Hosting-Anbieter mit Vorsichtsmaßnahmen, um zu verhindern, dass ältere Installationen weiterhin exponiert bleiben.
In einem weiteren Update vom 2. November erklärte BTCPay Server, dass Benutzer, die die Software über einen Hosting-Anbieter betreiben, feststellen könnten, dass ihre Instanzen bereits automatisch heruntergefahren wurden.
Das Projekt dankte LunaNode und anderen Hosting-Unternehmen für ihre schnelle Reaktion nach der ersten Ankündigung.
Solche Abschaltungen bedeuten, dass einige Betreiber möglicherweise nicht auf ihre Zahlungsserver zugreifen können, bis ihr Hosting-Anbieter den Dienst wiederherstellt oder die betroffene Installation wieder online gebracht wird.
BTCPay Server hat keine vollständige Liste der Hosting-Anbieter veröffentlicht, die Instanzen ausgesetzt haben, oder offengelegt, wie viele Server offline genommen wurden.
Die Sicherheitswarnung erfolgt nach einem weiteren kürzlichen Vorfall im Zusammenhang mit der Bitcoin-Zahlungsinfrastruktur. Im September warnte Core Lightning Betreiber, dass Angreifer ältere, nicht gepatchte Lightning-Knoten ins Visier nahmen.
Core Lightning erklärte, es habe Berichte über Angriffe auf anfällige Installationen erhalten, habe jedoch nicht feststellen können, ob diese Versuche zu gestohlenen Geldern geführt hätten.
Sicherheitsuntersuchung dauert an, während Benutzer Wallet-Verluste melden
Das selbst gehostete Design von BTCPay Server gibt Betreibern direkte Kontrolle über ihre Zahlungssysteme, einschließlich Software-Updates, Serververwaltung und Wallet-Konfigurationen.
Das Projekt hat empfohlen, die Menge an Kryptowährung in Hot Wallets zu begrenzen und überschüssige Gelder in Cold Storage zu verschieben, wo private Schlüssel offline verwahrt werden.
Die neueste Version, Version 2.4.7, wurde als die Version identifiziert, für die das Team keine glaubwürdigen Berichte über Wallet-Abflüsse erhalten hatte. Die Erklärung stellte nicht fest, dass jede frühere Version kompromittiert wurde oder dass jede Installation, die eine betroffene Version ausführte, einen Verlust erlitten hatte.
BTCPay Server hat die betroffenen Betreiber aufgefordert, Protokolle aufzubewahren und seinem Sicherheitsteam zu übermitteln, während die Ermittler weiterhin den von Dorier gemeldeten Administratorzugriff untersuchen.
Für den Abschluss der Untersuchung wurde kein öffentlicher Zeitplan bereitgestellt, und das Projekt hat keine Wiederherstellung von Kryptowährung bekannt gegeben, die aus betroffenen Wallets entnommen wurde.
