BTCPay Server bietet Bitcoin-Kopfgeld für die Wiederbeschaffung nach Wallet-Exploit
Wichtige Erkenntnisse
- •BTCPay Server bietet ein Kopfgeld von 10% der wiedererlangten Mittel an, begrenzt auf 3 BTC beziehungsweise rund $190,000, für Hinweise, die zur Rückgabe gestohlener Bitcoin führen; das Angebot gilt auch für den Angreifer selbst.
- •Der Exploit ermöglichte Angreifern, LND admin macaroons zu erlangen — Authentifizierungsdaten, die weitreichende Kontrolle über Lightning-Network-Knoten und Zugriff auf verbundene Wallets gewähren.
- •Die BTCPay Server Foundation wird jeweils 0.21 BTC an den Sicherheitsforscher Craig Raw, Entwickler von Sparrow Wallet, und den Bitcoin-Red-Team-Fonds spenden, weil die Schwachstelle verantwortungsvoll offengelegt wurde.
- •BTCPay hat den insgesamt gestohlenen Bitcoin-Betrag, die Zahl der betroffenen Nutzer oder ob bereits Mittel wiedererlangt wurden, nicht offengelegt.
- •Die Organisation will Code-Reviews verstärken und Sicherheits-Patches gegenüber neuen Funktionen priorisieren, da KI-gestützte Angriffe auf Bitcoin-Software zunehmen.
BTCPay-Server-Unterstützer bieten ein Kopfgeld in Höhe von 10% aller wiedererlangten Mittel an, begrenzt auf 3 BTC (rund $190,000), im Austausch für Informationen, die zur Rückgabe von Bitcoin führen, die durch einen jüngsten Exploit gestohlen wurden. Das Angebot steht jeder Person offen, einschließlich des verantwortlichen Angreifers.
BTCPay Server ist ein freier, quelloffener, selbst gehosteter Bitcoin-Zahlungsprozessor, der von Händlern und Bitcoin-Befürwortern als Alternative zu zentralisierten Zahlungsplattformen genutzt wird. Anders als Verwahrdienste ermöglicht er es Nutzern, ihre eigenen Knoten zu betreiben und die eigenen Schlüssel zu kontrollieren — ein Designansatz, der Sicherheitslücken für Betreiber besonders folgenschwer macht.
In einem Beitrag auf X am Montag kündigte BTCPay die Belohnungsinitiative an. "We will examine our mistakes, but regret alone will not help affected users or secure the project," schrieb die Organisation. "There is no time to waste. We have to learn, improve, and act quickly." (X-Beitrag)
BTCPay hatte Nutzer erstmals am Freitag vor den Angriffen gewarnt und ihnen geraten, sofort auf Version 2.4.2 zu aktualisieren oder ihre Server offline zu nehmen. Zu diesem Zeitpunkt hatte das Projekt noch keine Diebstähle bestätigt oder den Mechanismus des Exploits offengelegt.
Nach Angaben von BTCPay ermöglichte die Schwachstelle Angreifern, LND admin macaroons zu erlangen — Authentifizierungsdaten, die weitreichende Kontrolle über einen Lightning Network-Knoten gewähren — und sie anschließend zu nutzen, um auf verbundene Wallets zuzugreifen. Das Lightning Network ist ein Layer-2-Zahlungsprotokoll auf der Bitcoin-Blockchain, das schnellere und günstigere Transaktionen ermöglichen soll, indem Zahlungen über Kanäle zwischen Nutzern geleitet werden. LND, oder Lightning Network Daemon, ist eine der am weitesten verbreiteten Implementierungen von Lightning-Knoten, weshalb die durch diese Schwachstelle eröffnete Angriffsfläche für einen breiten Teil der Betreiber von Lightning-Infrastruktur relevant ist.
Das Projekt hat weder den insgesamt gestohlenen Betrag an Bitcoin noch die Zahl der betroffenen Nutzer offengelegt, noch ob bislang Mittel wiedererlangt wurden.
Wenn mehrere Hinweise zur Wiedererlangung der Mittel beitragen, wird das Kopfgeld in Abstimmung mit den Opfern aufgeteilt. BTCPay erklärte, dass es bei der Verteilung der Belohnung die Verluste jedes Opfers, den insgesamt wiedererlangten Betrag und den relativen Nutzen jedes Hinweises berücksichtigen werde.
Separat wird die BTCPay Server Foundation jeweils 0.21 BTC an den Sicherheitsforscher Craig Raw und den Bitcoin Red Team-Fonds spenden, weil die Schwachstelle verantwortungsvoll offengelegt wurde. Craig Raw ist der Entwickler von Sparrow Wallet, einer beliebten Open-Source-Bitcoin-Desktop-Wallet.
"These are modest contributions, but they are what we can offer as a FOSS project and a way to appreciate people doing critical security work, which helps the entire ecosystem," schrieb BTCPay.
Mit Blick auf die Zukunft erklärte die Organisation, sie verstärke die Code-Review-Prozesse und priorisiere Sicherheits-Patches gegenüber neuen Funktionen, da KI-Tools es Angreifern leichter machten, Schwachstellen in Bitcoin-Software zu identifizieren. Der Vorfall verdeutlicht eine breitere Spannung im Open-Source-Bitcoin-Ökosystem, in dem von Freiwilligen getragene Projekte kritische Zahlungsinfrastruktur mit begrenzten Ressourcen aufrechterhalten, verglichen mit ihren kommerziellen Gegenstücken.
"Defending software in this environment requires better tools, more thorough reviews, faster security responses, and support for researchers who find and responsibly report vulnerabilities," schrieb BTCPay.
