Angreifer meldete sich als Admin auf veralteten BTCPay-Servern an, bevor Hot-Wallets geleert wurden, sagt Gründer
Wichtige Erkenntnisse
- •Den Angaben des Projekts zur Untersuchung zufolge zielten die Hot-Wallet-Abflüsse am Sonntag auf BTCPay-Server-Instanzen mit Version 2.4.1, veröffentlicht am 23. Juli, oder älter ab.
- •BTCPay gab eine Warnung heraus, in der alle Betreiber zum Herunterfahren ihrer Instanzen aufgefordert wurden, und meldete keine glaubhaften Hot-Wallet-Abflüsse bei Nutzern der Version 2.4.7, die am 29. Oktober erschienen ist.
- •Bei den gemeldeten Angriffen meldeten sich die Angreifer als Administratoren an; BTCPay hat noch nicht geklärt, wie dieser Zugriff erlangt wurde.
- •Version 2.4.2, veröffentlicht am 7. August, schloss eine aktiv ausgenutzte Schwachstelle, die nicht authentifizierten Angreifern das Stehlen von LND-Macaroon-Zugangsdaten und die Übernahme von Lightning-Nodes ermöglichte; BTCPay hat jedoch nicht bestätigt, ob dieser Fehler am Sonntag genutzt wurde, und weist darauf hin, dass der Fehler aus dem August keine Authentifizierung erforderte, während die Angriffe am Sunday Administrator-Logins beinhalteten.
- •Dorier sagte, Betreiber, die seit dem Release von 2.4.2 mindestens einmal aktualisiert haben, hätten keinen Grund zur Panik, warnte zugleich aber, nicht zu viel in einer Hot Wallet zu halten.
Die am Sonntag gemeldeten Hot-Wallet-Abflüsse zielten offenbar auf BTCPay-Server-Instanzen ab, auf denen Versionen älter als 2.4.2 liefen, so Nicolas Dorier, Gründer von BTCPay Server. In diesen Fällen meldete sich der Angreifer als Administrator an, und das Team erklärte, es arbeite noch daran zu klären, wie dieser Zugriff erlangt wurde.
Untersuchung deutet auf 2.4.1 oder älter hin
BTCPay gab am Sonntag um 17:25 Uhr ET eine Warnung heraus, auf X veröffentlicht, mit der Aufforderung an alle Betreiber, ihre Instanz mit ./btcpay-down.sh herunterzufahren, bis die Untersuchung abgeschlossen ist. Dorier meldete sich rund zwei Stunden später und stellte fest, dass die eigenen öffentlichen Server von BTCPay mit Version 2.4.7 nicht angegriffen worden waren. Später sagte er, das Team habe Spuren, die darauf hindeuteten, dass „Schwachstellen vor 2.4.2 ausgenutzt wurden“.
Ein Update, das BTCPay um 23:07 Uhr ET veröffentlichte (hier und hier), grenzte den Zielkreis ein: Die Ermittler identifizierten einen Angriffsvektor, der auf Instanzen mit Version 2.4.1, veröffentlicht am 23. Juli, oder ältere Versionen abzielte.
Das Projekt meldete „keine glaubhaften Berichte über Hot-Wallet-Abflüsse“ von Nutzern der Version 2.4.7, die am 29. Oktober erschienen ist. Es rief Betreiber auf, ihre Software aktuell zu halten, und bat Betroffene, Details und Logs an das Sicherheitsteam zu senden.
Einige Hosting-Anbieter haben Instanzen möglicherweise automatisch heruntergefahren, um zu verhindern, dass ältere Versionen ausgenutzt werden. BTCPay dankte LunaNode und anderen für ihr rasches Handeln. Dorier sagte, Betreiber, die seit dem Release von 2.4.2 mindestens einmal aktualisiert haben, hätten „keinen Grund zur Panik“, warnte zugleich Nutzer, nicht zu viel in einer Hot Wallet zu halten, und kündigte einen Blogbeitrag mit weiteren Details an.
Die Abflüsse am Sonntag erreichten Gelder, die die August-Warnung als sicher eingestuft hatte
Da BTCPay selbst gehostet wird, kann das Projekt den Server eines Händlers weder ändern noch herunterfahren. Der Hot-Wallet-Modus signiert Zahlungen mit einem Seed, der auf diesem Server gespeichert ist. Wer den Server kontrolliert, kann also die Coins bewegen, wie BTCPays Dokumentation erläutert. In der Praxis schützt ein Sicherheitsrelease wie 2.4.2 einen bestimmten Server erst, wenn der Betreiber ihn installiert.
Version 2.4.2 stammt aus dem August. BTCPay veröffentlichte 2.4.2 am 7. August, um eine kritische Schwachstelle zu schließen, die bereits aktiv ausgenutzt wurde, wie Cryptopolitan damals berichtete. Jede frühere Version, einschließlich der 2.4.2-Release-Kandidaten, ermöglichte es einem nicht authentifizierten Angreifer, LND-Macaroon-Zugangsdaten zu stehlen und so einen Lightning-Node zu übernehmen und dessen Gelder zu bewegen. Das Projekt beschrieb den Patch in seinem Sicherheitshinweis. Foundation und Citadel21 meldeten Angriffe auf ihre Lightning-Nodes, und Craig Raw, Entwickler der Sparrow Wallet, erklärte, ebenfalls betroffen zu sein.
Mit dem Release 2.4.2 wurden LND-Macaroons automatisch neu erzeugt. Betreiber, die LND über einen eigenen Proxy, den Tor-Dienst oder einen weitergeleiteten Port exponiert hatten, mussten diese Zugangsdaten weiterhin manuell ändern. Version 2.4.2 schloss zudem eine separate TOTP-Zwei-Faktor-Umgehung über die Basic Authentication der Greenfield API, gemeldet am 4. August. BTCPay erklärte, dieser Fehler stehe nicht mit dem Macaroon-Hack in Verbindung, und die eigenen On-Chain-Wallets des Projekts, einschließlich Hot Wallets, seien von dieser Schwachstelle nicht betroffen gewesen.
Weder BTCPay noch Dorier haben gesagt, ob der Angreifer am Sonntag den Macaroon-Fehler aus dem August oder eine andere Schwachstelle vor 2.4.2 ausnutzte. Der Macaroon-Fehler aus dem August war ohne jegliche Authentifizierung ausnutzbar; die Angriffe am Sonntag erforderten dagegen Administrator-Logins. Im August stellten Unterstützer ein Belohnungsprogramm in Aussicht: 10 % der zurückgegebenen Gelder, bis zu 3 BTC, wie Cryptopolitan berichtete. Unabhängig davon meldete River, dass die durchschnittliche Händlernutzung von Bitcoin 2025 um 74 % wuchs, wobei das Lightning-Volumen die Marke von 1 Milliarde US-Dollar pro Monat überschritt – genau die Art von Händlerzahlungsaktivität, für die selbst gehostete Software wie BTCPay gebaut wurde.
