BTCPay Server hat eine sofortige Sicherheitswarnung herausgegeben, nachdem Berichte über Angreifer aufgetaucht sind, die Bitcoin aus Hot Wallets auf seiner Zahlungsinfrastruktur abflossen, und fordert Betreiber auf, ihre Server herunterzufahren, während Ermittler das Ausmaß der Kompromittierung untersuchen.

Die am 1. November veröffentlichte Warnung galt zunächst für alle Installationen. Spätere Erkenntnisse haben den mutmaßlichen Angriffsvektor auf BTCPay-Server-Versionen 2.4.1 und älter eingegrenzt, und das Projekt erklärt, es habe keine glaubhaften Berichte über Hot-Wallet-Diebstähle im Zusammenhang mit der neuesten Version 2.4.7 erhalten. Die Gesamtsumme des gestohlenen Betrags, die Zahl der betroffenen Händler und die genaue Methode zur Kompromittierung der Server bleiben weiterhin unveröffentlicht.

Wallet-Abflüsse auf veraltete Software zurückgeführt

BTCPay Server wies Betreiber an, ihre Instanzen unverzüglich mit dem Befehl ./btcpay-down.sh offline zu nehmen, nachdem Berichte über unbefugte Abhebungen aus mit dem Internet verbundenen Wallets aufgetaucht waren.

Der Open-Source-Zahlungsabwickler ermöglicht Händlern die Annahme von Bitcoin- und Lightning-Network-Zahlungen ohne Abhängigkeit von zentralen Verwahrern. Seine optionale Hot-Wallet-Funktion speichert jedoch Signaturanmeldeinformationen direkt auf dem Server, wodurch Gelder potenziell gefährdet sind, wenn Angreifer Administratorzugriff erlangen. Hot Wallets halten diese Schlüssel online, damit Zahlungen automatisch verarbeitet werden können, während Cold Storage sie offline hält — ein Kompromiss, der selbst verwahrende Händler ohne Mittelsmann zwischen ihren Schlüsseln und einem Angreifer lässt.

Gründer Nicolas Dorier erklärte, vorläufige Untersuchungen hätten gezeigt, dass Angreifer sich erfolgreich als Administratoren auf den betroffenen Servern angemeldet hatten, wobei die Methode zum Erlangen dieses Zugriffs noch untersucht werde. Die kompromittierten Installationen schienen Versionen zu verwenden, die vor August 2026 veröffentlicht wurden, als BTCPay Server Version 2.4.2 zur Behebung mehrerer Sicherheitsschwächen einführte.

Das Team identifizierte anschließend einen Angriffsvektor, der Versionen 2.4.1 und älter betrifft, und stellte zugleich fest, dass die eigenen öffentlich zugänglichen Server mit der neuesten Version nicht kompromittiert wurden. Da die Software jedoch selbst gehostet wird, hängt das Patchen davon ab, dass einzelne Betreiber auf die Sicherheitshinweise des Projekts reagieren — kein zentraler Anbieter kann die Server im Namen der Händler aktualisieren.

Die Erkenntnisse kamen wenige Tage nachdem BTCPay Server am 29. Oktober Version 2.4.7 veröffentlicht hatte, die 85 durch Anthropics Open-Source-Sicherheits Prüfprogramm identifizierte Sicherheitsfunde behebt. Diese Korrekturen betrafen einen kritischen, 13 hochgradige, 52 mittlere und 19 geringfügige Schwachstellen in den Bereichen Authentifizierung, Zahlungsabwicklung, API-Zugriff und anderen Komponenten. Die Version ist auf GitHub verfügbar, und das Projekt teilte seine Warnung über X.

Obwohl der neuesten Version keine bestätigten Hot-Wallet-Verluste zugeordnet sind, hat die Untersuchung noch nicht geklärt, welche spezifische Schwachstelle die November-Angriffe ermöglichte.

Bitcoin-Zahlungsinfrastruktur steht unter erneuter sicherheitsbedingter Belastung

Der Vorfall folgt auf eine Sicherheitsverletzung im August im Zusammenhang mit BTCPay Servers Lightning-Network-Integration. Angreifer hatten zuvor eine Schwachstelle ausgenutzt, die unbefugten Zugriff auf LND-Administratoranmeldeinformationen ermöglichte und ihnen potenziell die Kontrolle über verbundene Lightning-Nodes und die Übertragung von Geldern erlaubte. Diese Schwäche wurde im Rahmen einer umfassenderen Bitcoin-Sicherheitsprüfung identifiziert und in Version 2.4.2 behoben; der frühere Vorfall betraf mit LND verbundene Gelder und nicht BTCPay Servers standardmäßige On-Chain-Hot-Wallets.

Die Sicherheitsbedenken haben auch andere Bitcoin-Anwendungen erfasst. Im August forderte Core Lightning Node-Betreiber auf, sich zu trennen, während Entwickler Sicherheitsupdates vorbereiteten. Kürzlich behob Electrum eine aktiv ausgenutzte Wallet-Schwachstelle, nachdem Angreifer Transaktionsdaten manipuliert hatten, um Bitcoin-Zahlungen umzuleiten.

BTCPay Server fordert betroffene Betreiber nun auf, sich mit relevanten Protokollen und Vorfalldetails zu melden. Nutzern wird geraten, Installationen aktuell zu halten, Guthaben in Hot Wallets zu minimieren und verbleibende Assets bei Bedarf in sicheren Cold Storage zu übertragen. Einige Hosting-Anbieter haben Kundinstanzen mit verwundbarer Software vorsorglich ausgesetzt, um weitere Verluste zu verhindern.

Die Untersuchung läuft weiterhin; es wurden bisher keine bestätigten Rückholzahlen oder eine vollständige technische Erklärung veröffentlicht. Während die neueste Software offenbar von dem identifizierten Angriffsvektor nicht betroffen ist, unterstreicht der Vorfall die Risiken veralteter selbst gehosteter Zahlungsinfrastruktur, insbesondere wenn private Schlüssel auf mit dem Internet verbundenen Servern zugänglich bleiben. Aufmerksamkeit richtet sich nun darauf, ob das Projekt eine vollständige technische Nachanalyse veröffentlicht und wie viele betroffene Händler mit eingehenden Protokollen Verluste melden.