BTCPay Server, die Open-Source- und selbst gehostete Zahlungssoftware, mit der Händler Bitcoin ohne einen Drittverwahrer annehmen können, hat ein Notfall-Update veröffentlicht, um eine kritische Schwachstelle zu beheben, die derzeit ausgenutzt wird, um Nutzergelder zu stehlen.

Wie in GitHub-Pull-Request #7491 beschrieben, ermöglicht der Fehler Angreifern, die auf TOTP basierende Zwei-Faktor-Authentifizierung über die Basic Authentication der Greenfield API von BTCPay zu umgehen. Die Ursache liegt darin, dass der Authentifizierungsmechanismus prüfte, ob gültige FIDO2-Anmeldedaten registriert waren, statt zu bestätigen, ob die Zwei-Faktor-Authentifizierung tatsächlich aktiviert war. Dadurch konnten Konten, die durch eine TOTP-Authenticator-App geschützt waren, über die API nur mit E-Mail-Adresse und Passwort aufgerufen werden. Die Greenfield API ist BTCPays REST-basierte Schnittstelle für die programmatische Integration mit E-Commerce-Plattformen, Point-of-Sale-Systemen und automatisierten Workflows — damit sind Händler mit API-gestützten Setups am stärksten betroffen.

Die Schwachstelle liegt in der Anwendungsschicht von BTCPay und betrifft nicht das Bitcoin-(BTC)-Protokoll selbst. BTCPay hat am August 7 Version 2.4.2 seiner Software veröffentlicht und alle Nutzer aufgefordert sicherzustellen, dass sie auch NBXplorer auf Version 2.6.10 aktualisiert haben.

BTCPay hat den Vorfall öffentlich über sein X-Konto angesprochen.

Markt reagiert verhalten

Trotz der Sicherheitsbedenken blieben Bitcoin-Kurs und Bewertung relativ stabil. Laut CoinMarketCap wird Bitcoin bei etwa $64,889 gehandelt, was einem Anstieg von 0.82% gegenüber dem Vortag entspricht, während die Marktkapitalisierung von $1.3 trillion nur um 0.79% gestiegen ist. Obwohl das 24-Stunden-Handelsvolumen um 20.98% zulegte, deuten der stabile Preis und die stabile Marktkapitalisierung darauf hin, dass der Vorfall die gesamte Marktbewertung von Bitcoin bislang nicht wesentlich beeinflusst hat.

Die verhaltene Marktreaktion passt zur Art der Schwachstelle. Der BTCPay-Fehler betrifft einzelne Händler und Betreiber, nicht die Konsensregeln oder kryptografischen Grundlagen von Bitcoin. Das bedeutet jedoch nicht, dass er unbedeutend ist. BTCPay bildet eine Brücke zwischen dem Bitcoin-Netzwerk und den Zahlungssystemen von Unternehmen, indem es Rechnungsstellung, Zahlungsabwicklung und Wallet-Verwaltung übernimmt. Das nicht verwahrende Design der Plattform bedeutet, dass Händler die direkte Kontrolle über ihre privaten Schlüssel behalten — ein wichtiger Grund, warum viele sie gegenüber gehosteten Prozessoren bevorzugen. Ein Authentifizierungs-Bypass, der Angreifern Zugriff auf Betreiberkonten verschafft, untergräbt dieses Sicherheitsmodell unmittelbar und kann Wallet-Verwaltungsfunktionen und Zahlungsdaten offenlegen, obwohl die Gelder nicht von einem Dritten verwahrt werden.

Was BTCPay Betreibern geraten hat

Die unmittelbare Lösung ist einfach: BTCPay Server auf Version 2.4.2 aktualisieren und für Integratoren NBXplorer auf Version 2.6.10.

Laut BTCPay ist es besser, API-Schlüssel anstelle von Basic Authentication zu verwenden, da sich Berechtigungen damit feiner steuern lassen. Der neue Patch hat außerdem Änderungen am Authentifizierungsprozess eingeführt, sodass geprüft werden kann, ob 2FA tatsächlich aktiv ist, wodurch die Lücke geschlossen wird, die es mit TOTP geschützten Konten ermöglichte, die zweite Authentifizierungsebene zu umgehen.

Da BTCPay selbst gehostet wird, können Betreiber nicht auf einen zentralen Anbieter vertrauen, der den Patch für sie einspielt.

Ein dritter Schlag für Bitcoins Zahlungsinfrastruktur

BTCPays Ankündigung folgt auf eine turbulente Woche für Bitcoins Zahlungssystem. Cryptopolitan hatte zuvor berichtet, dass ZEUS, ein Anbieter einer Lightning-Wallet, seine Zahlungsinfrastruktur wegen eines Sicherheitsproblems deaktiviert hatte, wobei auch andere Lightning-Dienstleister betroffen waren.

Diese Vorfälle bedeuten nicht, dass die Bitcoin-Zahlungsprotokolle versagen. Sie zeigen jedoch, wie viel zusätzliches Sicherheitsrisiko durch die um die Blockchain herum gebaute Software entsteht.

Eine Studie aus dem Jahr 2024 von Forschern der Northeastern University und der TU Delft nutzte formale Modellierung, um Sicherheitsprobleme im Single-Hop-Zahlungsprotokoll von Lightning zu identifizieren, darunter einen neu beschriebenen Angriff namens „Payout Race“. Eine separate Studie aus dem Jahr 2026 untersuchte Balance-Discovery-Angriffe und stellte fest, dass Angreifer Informationen über Lightning-Kanalstände ableiten können. Die vorgeschlagene Gegenmaßnahme verringerte den Informationsgewinn in Simulationen um bis zu 62%.

Beide Studien verdeutlichen eine wichtigere Wahrheit: Die Sicherheit von Bitcoin hängt nicht nur von der Blockchain ab. Wallets, APIs, Zahlungsabwickler sowie die Lightning-Infrastruktur bringen jeweils zusätzliche Schwachstellen mit sich.

Nicht BTCPays erster kritischer Bug

BTCPay war bereits früher von schwerwiegenden Schwachstellen betroffen. Im Januar 2023 meldete das Projekt CVE-2022-32984, ein kritisches Informationsleck, das BTCPay-Versionen 1.3.0, 1.4.0 und 1.5.3 betraf.

Der Fehler konnte sensible Shop-Details über öffentlich zugängliche Point-of-Sale-Anwendungen offenlegen, darunter möglicherweise einen xpub und Lightning-Zugangsdaten für einen externen Node. BTCPay behob das Problem in Version 1.5.4 und belohnte später den Forscher Antoine Poinsot mit einer Prämie von $5,000.

Der Unterschied ist klar: Der Angriff von 2023 war ein Informationsleck, während die jüngste Schwachstelle Authentifizierungsprobleme betrifft, die TOTP-Schutz über die Greenfield API umgehen.

Warum Händler jetzt mehr zu verlieren haben

Die Lage verschärft sich, da Bitcoin für Zahlungen immer wertvoller wird. Eine im February 2026 veröffentlichte Untersuchung von River stellte fest, dass die durchschnittliche Bitcoin-Nutzung durch Händler allein im Jahr 2025 um 74% gestiegen ist, während die Lightning-Nutzung um 300% zunahm und ein monatliches Volumen von über $1 billion erreichte.

Auch die umgebende Infrastruktur ist bedeutend. BuiltWith hat 248 Websites identifiziert, die BTCPay Server nutzen, darunter 74 aktive, wobei diese Zahlen private oder anderweitig nicht erkennbare Installationen nicht erfassen.

Zusätzlich zeigt der jüngste Snapshot von 1ML, dass es 6,280 Lightning-Nodes, 21,221 Kanäle und eine aktuelle Netzwerkkapazität von 2,818.49 BTC gibt.

Diese Größenordnung macht Schwachstellen in der umgebenden Infrastruktur umso gravierender, selbst wenn die Bitcoin-Basisschicht in keiner Weise betroffen ist.

Die Lehre aus BTCPay legt nicht nahe, dass Bitcoin selbst fehlerhaft ist. Sie zeigt vielmehr, dass auf Bitcoin aufgebaute Unternehmen eine breitere Sicherheitslast übernehmen. Die Blockchain kann weiterhin funktionieren, aber die von Händlern genutzten Anwendungen können zu Ausfallpunkten werden.

Für BTCPay-Betreiber ist die Priorität klar: auf Version 2.4.2 aktualisieren, Authentifizierungs- und Zugriffsdaten auf Anzeichen einer Kompromittierung prüfen und wann immer möglich von Basic Authentication auf spezifische API-Schlüssel umstellen.

Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei zu sein? Schließen Sie sich ihnen an.