BTCPay-Server-Nutzer nach Diebstählen aus Hot Wallets zum Patchen aufgefordert

Der selbst gehostete Kryptowährungs-Zahlungsverarbeiter BTCPay Server hat eine dringende Warnung an seine Nutzerschaft herausgegeben, nachdem bestätigte Berichte über Geldabflüsse vorlagen. Bei den Vorfällen entleeren Angreifer die Hot Wallets von Servern, auf denen veraltete Softwareversionen laufen. Berichte über diese Exploits tauchten erstmals um den 1. November 2026 auf, woraufhin die Projekt-Maintainer allen betroffenen Instanzen eine sofortige Behebung empfahlen.

Was passiert ist

Das Sicherheitsteam von BTCPay Server stellte fest, dass sich die Angriffe gezielt gegen Instanzen richteten, die Version 2.4.1 oder älter ausführen. Diese Version wurde am 23. Juli 2026 veröffentlicht. Die betreffende Schwachstelle wurde in Version 2.4.2 behoben, die am 7. August 2026 verfügbar wurde. Laut den Ermittlungen nutzten die Angreifer eine Methode, die sich von früheren Exploits unterschied, um diese älteren Installationen zu kompromittieren. Während das genaue Startdatum der Kampagne unbekannt bleibt, deutet der jüngste Anstieg der Meldungen auf aktive Ausnutzung in freier Wildbahn hin.

Nutzern, die derzeit Versionen 2.4.1 oder älter betreiben, wird empfohlen, drastische Maßnahmen zu ergreifen. Die Empfehlung lautet nicht nur, die Software zu aktualisieren, sondern auf einen komplett neuen Server mit einer neuen Wallet zu migrieren. Dieser Rat gilt auch dann, wenn der Nutzer noch keine fehlenden Gelder festgestellt hat. Die Logik hinter dieser strengen Anleitung ist, dass ein Angreifer nach dem Erlangen des Zugriffs persistente Hintertüren eingerichtet oder geheime Schlüssel extrahiert haben könnte, die auch nach einem Software-Patch gültig bleiben. Folglich muss jeder Rechner, bei dem unbefugter Zugriff vermutet wird, als vollständig kompromittiert behandelt werden, was einen totalen Reset aller Secrets und Credentials erfordert.

Das Projekt bestätigte, dass es keine glaubwürdigen Berichte über Diebstähle bei Nutzern gibt, die die neueste Release-Version 2.4.7 verwenden. Dieses letzte Update behebt eine kritische und mehrere mittelschwere Schwachstellen, die durch den OSS-Scanner von Anthropic entdeckt wurden. Um die Verfolgung gestohlener Assets zu unterstützen, veröffentlichte BTCPay Server zwei spezifische Wallet-Adressen im Zusammenhang mit den Vorfällen: eine Bitcoin-Adresse beginnend mit bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 und eine Litecoin-Adresse beginnend mit ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee.

Wichtige Details

• Betroffene Versionen: BTCPay Server 2.4.1 (veröffentlicht am 23. Juli 2026) und alle früheren Versionen.
• Gepatchte Version: Version 2.4.2, veröffentlicht am 7. August 2026, behob die ausgenutzte Schwachstelle.
• Aktuelle sichere Version: Bei Version 2.4.7 gibt es keine glaubwürdigen Berichte über Entleerungen von Hot Wallets.
• Empfohlene Maßnahme: Nutzer auf verwundbaren Versionen sollten auf einen frischen Server mit einer neuen Wallet wechseln, unabhängig davon, ob ein Diebstahl sichtbar ist.
• Umfang der Kompromittierung: Jeder verdächtige Einbruch erfordert, den gesamten Rechner und alle gespeicherten Secrets als kompromittiert zu behandeln.
• Gestohlene Assets: Bestätigte Diebstähle betreffen Bitcoin und Litecoin aus Hot Wallets.

Hintergrund

BTCPay Server ist eine beliebte Open-Source-Lösung für Händler, die Kryptowährungszahlungen akzeptieren möchten, ohne sich auf Drittanbieter-Prozessoren zu verlassen. Er wird typischerweise selbst gehostet, was bedeutet, dass der Nutzer die Server-Infrastruktur, Sicherheitsupdates und Wallet-Schlüssel verwaltet. Eine „Hot Wallet“ bezieht sich in diesem Kontext auf eine Kryptowährungs-Wallet, die mit dem Internet verbunden ist und auf dem Server selbst gespeichert wird. Dieses Setup ermöglicht automatisierte Zahlungsverarbeitung, birgt jedoch ein höheres Risiko als „Cold Storage“, bei dem Schlüssel offline gehalten werden.

Die bei diesen jüngsten Angriffen ausgenutzte Schwachstelle erlaubte unbefugten Zugriff auf Credential-Dateien, insbesondere .macaroon-Dateien, die von LND (Lightning Network Daemon) verwendet werden. LND ist eine Implementierung des Lightning Networks, eines Layer-2-Protokolls, das entwickelt wurde, um Bitcoin-Transaktionen schneller und günstiger zu machen. In einer früheren Offenlegung im August 2026 wies das Team darauf hin, dass Angreifer diese Credentials nutzen könnten, um die Kontrolle über einen LND-Knoten zu übernehmen und Gelder zu bewegen. Ob die aktuelle Kampagne exakt denselben Vektor nutzt, ist unklar, doch der Fokus auf ältere, ungepatchte Versionen deutet auf eine ähnliche Abhängigkeit von bekannten, unbehandelten Sicherheitslücken hin.

Warum es wichtig ist

Für Teams und Einzelpersonen, die Finanzsoftware selbst hosten, unterstreicht dieser Vorfall die entscheidende Bedeutung eines zeitnahen Patch-Managements. Im Gegensatz zu zentralisierten Diensten, bei denen der Anbieter Sicherheitsupdates transparent handhabt, liegt die gesamte Wartungslast in selbst gehosteten Umgebungen beim Betreiber. Das Zurückbleiben bei Updates, selbst um wenige Monate, kann Systeme aktiven Ausnutzungskampagnen aussetzen. Die Tatsache, dass Angreifer Versionen vom Juli 2026 ins Visier nehmen, legt nahe, dass sie nach bekannten Schwachstellen scannen, die viele Operatoren möglicherweise vernachlässigt haben.

Darüber hinaus hebt die Empfehlung, den Server vollständig neu aufzubauen, die Schwere potenzieller Kompromittierungen hervor. In der klassischen IT-Sicherheit wird das Patchen einer Schwachstelle oft als ausreichend angesehen. Im Kontext von Kryptowährungen bedeutet der Diebstahl privater Schlüssel oder Authentifizierungs-Tokens jedoch, dass der Angreifer den Zugang behält, auch nachdem die Lücke geschlossen wurde. Dies erfordert ein strengeres Incident-Response-Protokoll, einschließlich Key-Rotation und Infrastruktur-Austausch, was für kleine Teams betrieblich teuer und komplex sein kann.

Dieses Ereignis findet zudem vor dem Hintergrund einer breiteren Instabilität im Krypto-Sektor statt. In den letzten Monaten gab es signifikante Brüche, darunter einen Diebstahl von 6,43 Milliarden Dollar bei Binance, der nordkoreanischen Akteuren zugeschrieben wird, ein Exploit von 2,65 Millionen Dollar bei Polymarket sowie Supply-Chain-Angriffe auf Hardware-Wallets wie Trezor. Für Sysadmins, die selbst gehostete Krypto-Tools verwalten, wird die Bedrohungslandschaft zunehmend ausgefeilt und erfordert Wachsamkeit nicht nur bei Software-Updates, sondern auch bei ganzheitlicher Security-Hygiene.

Was Sie tun können

• Version prüfen: Überprüfen Sie sofort, ob Ihre BTCPay-Server-Instanz Version 2.4.1 oder älter ausführt.
• Upgrade oder Migration: Wenn Sie verwundbar sind, führen Sie ein Upgrade auf Version 2.4.7 oder später durch. Wenn Sie einen früheren Kompromittierungsverdacht haben, migrieren Sie auf einen neuen Server mit neuen Wallet-Keys.
• Funds in Hot Wallets minimieren: Halten Sie nur die minimal notwendigen Gelder in Online-Hot-Wallets für den täglichen Betrieb. Lagern Sie den Großteil der Assets im Cold Storage mit Schlüsseln, die außerhalb des Servers gehalten werden.
• Auf Anomalien überwachen: Prüfen Sie Server-Logs und Wallet-Transaktionshistorien auf unbefugte Aktivitäten, auch wenn zunächst keine Gelder fehlen.
• Secrets isolieren: Stellen Sie sicher, dass sensible Credential-Dateien, wie .macaroon-Dateien, korrekt berechtigt sind und nicht für unauthentifizierte Nutzer zugänglich sind.
• Informiert bleiben: Folgen Sie offiziellen BTCPay-Server-Kanälen für zukünftige Sicherheitswarnungen und erwägen Sie, wo möglich, Update-Prüfungen zu automatisieren.