BTCPay Server hat am Sonntag alle Betreiber aufgefordert, ihre Instanzen offline zu nehmen, nachdem Berichte aufkamen, dass unbefugte Parteien Zugriff auf Hot Wallets der Bitcoin-Zahlungsplattform erhalten und diese geleert hatten.

In einer Ankündigung auf X bat das Projekt jeden Instanz-Administrator, seinen Server mit dem Shutdown-Befehl offline zu nehmen und den Abschluss der Untersuchung abzuwarten.

„Wir erhalten Berichte, dass Hot Wallets auf BTCPay-Servern von unbefugten Angreifern geräumt werden. Wenn Sie eine Instanz betreiben, fahren Sie sie bitte herunter (./btcpay-down.sh), bis wir die Untersuchung abgeschlossen haben“, erklärte BTCPay Server auf X.

Da BTCPay Server selbst gehostet wird, liegt die Verantwortung für das Herunterfahren klar bei den Betreibern der einzelnen Server. Das Projekt hat die Ursache des Vorfalls, die Zahl der betroffenen Server sowie die Gesamtsumme des gestohlenen Betrags bisher nicht offengelegt.

Warum Hot Wallets gefährdet sind

Laut der Dokumentation von BTCPay Server speichert die Hot-Wallet-Funktion den Seed direkt auf dem Server, um Transaktionen zu signieren, und ermöglicht schnelle Auszahlungen ohne externe Hardware. Diese Bequemlichkeit hat Hot Wallets jedoch deutlich anfälliger gemacht als Cold Storage.

Hot Wallets bewahren private Schlüssel auf internetverbundenen Systemen auf, sodass Angreifer, die die zugrundeliegende Infrastruktur kompromittieren, Zugang zu ihnen erhalten können. Cold Wallets hingegen speichern Signaturschlüssel offline. Der Kompromiss ist Geschwindigkeit: Hot Wallets priorisieren Bequemlichkeit und ermöglichen Händlern eine schnellere Abwicklung von Transaktionen, während Cold Wallets auf Sicherheit setzen.

Für Unternehmen, die BTCPay Server zur Annahme von Bitcoin-Zahlungen nutzen, könnte eine kompromittierte Hot Wallet Mittel gefährden, die für Händlerabrechnungen oder Kundentransaktionen vorgesehen sind. Die Warnung wirft daher die Frage auf, wie Betreiber die Zahlungskomfortabilität mit der Notwendigkeit in Einklang bringen können, private Schlüssel vor unbefugtem Zugriff zu schützen.

Samson Mow, CEO des BTC-Technologieunternehmens JAN3, kommentierte den Vorfall: „Ich denke, es sollte Priorität haben, SamRock so schnell wie möglich mit Indra zusammenzubringen, damit BTCPay-Nutzer direkt auf Aqua Bitcoin empfangen und regelmäßig in Cold Storage tauschen können.“

Dritter Sicherheitsvorfall in den letzten Monaten

Der Aufruf zum Herunterfahren ist der dritte Sicherheitsvorfall des Projekts in kurzer Folge. Nur wenige Tage zuvor, am 29. Oktober, hatte BTCPay Server ein Notfall-Update in Version 2.4.7 veröffentlicht, um diese Schwachstelle und andere zu beheben.

Im August exploitierten Angreifer eine andere Sicherheitslücke, was zum Diebstahl von Lightning-Network-Schlüsseln und zum Leeren mehrerer verbundener Nodes führte, darunter eine von Foundation, einem Hersteller von Hardware-Wallets. Zu diesem Zeitpunkt versicherte BTCPay Server den Nutzern, dass ihre Standard-On-Chain-Wallets und integrierten Hot Wallets von diesem Angriff nicht betroffen waren. Dennoch bat das Projekt die Nutzer, ihre Server auf Version 2.4 zu aktualisieren oder ihre Instanzen zumindest vorübergehend zu deaktivieren, bis sie dies tun konnten, um das Risiko unbefugten Zugriffs zu verringern.

Bis zum Abschluss der laufenden Untersuchung wird Betreibern empfohlen, ihre Serveraktivität, Wallet-Guthaben und Transaktionsverläufe auf verdächtige Bewegungen zu prüfen. Wer den Verdacht hat, dass seine Hot Wallet kompromittiert wurde, sollte potenziell offengelegte Signaturschlüssel nicht weiter verwenden. Der Vorfall unterstreicht auch, warum Backups sicher verwahrt werden müssen und warum große Bitcoin-Bestände offline statt in Wallets gehalten werden sollten, die mit Zahlungsinfrastruktur verbunden sind. Da die Ursache, die Zahl der betroffenen Server und die Gesamtsumme des gestohlenen Betrags weiterhin unbekannt sind, ist der Abschluss der Untersuchung von BTCPay Server die unmittelbare Entwicklung, die Händler und Betreiber der Plattform im Blick behalten sollten.

Coldcard-Exploit verursachte mindestens 116 Millionen Dollar Verlust

Die gesamte Branche hatte mit ähnlichen Problemen zu kämpfen. Im August wurde Coldcard, ein beliebter Hersteller von Bitcoin-only-Wallets, von einem Exploit getroffen, der bisher zu bestätigten Verlusten von mindestens 116 Millionen Dollar geführt hat.

Nach Angaben von Blockaid-CEO Ido Ben-Natan hat der Coldcard-Vorfall eine grundlegende Schwäche im Kryptobereich offenbart: die Abhängigkeit von privaten Schlüsseln, die zum Single Point of Failure werden können.

„Es ist eine Art einmaliger Zugriff auf diese Dinge. Das Schöne daran ist, dass niemand sonst Zugang zu diesen Dingen haben kann. Das Schwierige daran ist, dass es ein Single Point of Failure ist“, sagte Ben-Natan.

Er ergänzte: „Die Lektion daraus ist, dass es keine Lösung ist, seine Assets irgendwo liegen zu lassen, sie zu vergessen und nicht mehr darüber nachzudenken, weil sich das Sicherheitstempo ständig weiterentwickelt. Man muss entweder ständig paranoid sein oder diese Entscheidungsfindung an jemand anderen auslagern.“

Der Exploit ging auf einen schwerwiegenden Firmware-Bug zurück, der die Korrumpierung des Wallet-Seeding-Prozesses auf Coldcard-Geräten ermöglichte. Die Schwachstelle beseitigte den für sichere Wallets benötigten Randomisierungsfaktor, sodass Angreifer die privaten Schlüssel berechnen und die Wallets ihres Bitcoins entleeren konnten. Nach Angaben des Forschungsunternehmens K33 waren mehr als 7.000 Adressen betroffen.

Das Muster ist branchenweit: Im Durchschnitt stand fast drei Viertel der Gelder, die im ersten Halbjahr 2026 durch Krypto-Exploits gestohlen wurden, im Zusammenhang mit Kompromittierungen privater Schlüssel.