BTCPay Server warnt vor aktiv ausgenutzter Schwachstelle, die Gelder abziehen könnte

BTCPay Server hat alle Nutzer aufgefordert, Version 2.4.2 umgehend zu installieren, nachdem bestätigt wurde, dass Angreifer eine kritische Schwachstelle aktiv ausnutzen, die zum Diebstahl von Geldern führen könnte.

Sofortiges Update erforderlich

Am 7. Aug. veröffentlichte BTCPay Server über seinen offiziellen X-Account eine Warnung, stufte die Schwachstelle als kritisch ein und erklärte, eine erfolgreiche Ausnutzung könne zu direkten finanziellen Verlusten führen.

"There is a critical vulnerability being actively exploited on BTCPay Server, which can result in the loss of funds," sagte das Projekt.

Serveradministratoren wurden angewiesen, das Admin Dashboard zu öffnen und dann zu Server, Maintenance und Update zu navigieren. Anschließend sollten Betreiber überprüfen, ob die im Server-Footer angezeigte Versionsnummer 2.4.2 lautet.

Nutzer, die das Patchen nicht sofort durchführen können, wurden aufgefordert, ihre BTCPay Server vollständig herunterzufahren, bis die aktualisierte Version installiert werden kann. Diese Maßnahme soll weitere unbefugte Zugriffe auf möglicherweise weiterhin verwundbare Server verhindern.

BTCPay Server nannte nicht, welche früheren Versionen betroffen sind. Auch machte das Projekt keine Angaben dazu, wie Angreifer Zugang erlangen, wie viele Server kompromittiert wurden oder ob bereits Verluste bestätigt wurden.

Kritische Schwachstelle bedroht selbst gehostete Bitcoin-Zahlungen

BTCPay Server ist ein Open-Source-Zahlungsprozessor, der es Händlern ermöglicht, Bitcoin- und Lightning-Network-Zahlungen über eine von ihnen kontrollierte Infrastruktur anzunehmen. Anders als bei treuhänderischen Zahlungsplattformen sind die Betreiber für Wartung und Absicherung ihrer eigenen Installationen verantwortlich.

Diese Struktur verringert die Abhängigkeit von einem zentralen Zahlungsanbieter, verlagert die Verantwortung für Software-Updates jedoch auf einzelne Händler und Serveradministratoren. Eine kompromittierte Installation könnte je nach Reichweite der Schwachstelle Zahlungsabläufe oder andere sensible Serverfunktionen offenlegen.

Die Empfehlung des Projekts, Systeme herunterzufahren, zeigt die Dringlichkeit der Bedrohung. Betreiber sollten einen betroffenen Server nicht online lassen, während sie auf ein günstiges Wartungsfenster warten, da BTCPay Server bestätigt hat, dass die Ausnutzung bereits läuft.

Nutzer sollten das Update über die offizielle Wartungsoberfläche des Servers beziehen und den Versionsstring 2.4.2 überprüfen. Das Projekt hat nicht dazu geraten, Downloads von Drittanbietern oder inoffizielle Korrekturen zu verwenden.

Bitcoin-Infrastruktur steht unter breiterer Sicherheitsprüfung

Die Offenlegung folgt auf einen weiteren jüngsten Vorfall im Zusammenhang mit Bitcoin-Zahlungsinfrastruktur. Wie crypto.news berichtete, nahm Zeus Wallet seine Infrastruktur nach Eindämmung eines Cyberangriffs offline und begann vor der Wiederaufnahme des Betriebs mit einer Prüfung seiner Systeme.

Zeus erklärte, dass keine Kundengelder verloren gingen oder gefährdet wurden. Außerdem habe die Untersuchung keine Schwachstelle in Lightning-Node-Software ergeben. Derzeit gibt es keine Hinweise darauf, dass der Zeus-Vorfall und die BTCPay-Server-Schwachstelle zusammenhängen.

Nach einer Reihe jüngster Angriffe wurden die Sicherheitsprüfungen im gesamten Bitcoin-Ökosystem ausgeweitet. Crypto.news berichtete am 6. Aug., dass das ehrenamtliche Bitcoin Red Team bei der Überprüfung von 390 Bitcoin-bezogenen Projekten 4.962 potenzielle Probleme gefunden habe.

Die Gruppe stufte 720 dieser Befunde als hoch oder kritisch ein. Ihre Arbeit umfasst Bitcoin-Wallets, kryptografische Bibliotheken und Infrastruktursoftware, wobei sie öffentlich keine Projekte mit ungelösten kritischen Schwachstellen benannte.

Was BTCPay-Server-Betreiber als Nächstes tun sollten

BTCPay-Server-Betreiber sollten das Upgrade als dringende Sicherheitsmaßnahme und nicht als routinemäßiges Software-Update behandeln. Server sollten offline bleiben, wenn Administratoren nicht bestätigen können, dass Version 2.4.2 installiert wurde.

Händler sollten außerdem die Serveraktivität auf Anzeichen unbefugten Zugriffs prüfen. BTCPay Server hat bislang jedoch keine Indicators of Compromise oder technischen Details veröffentlicht, mit denen Betreiber feststellen könnten, ob ihre Systeme ins Visier genommen wurden.

Weitere Informationen könnten folgen, sobald mehr Nutzer den Patch installiert haben und die öffentliche Bekanntgabe das Risiko für ungepatchte Server nicht länger erhöht. Bis dahin bleibt die Anleitung des Projekts klar und direkt: auf v2.4.2 aktualisieren oder den Server herunterfahren.