BTCPay Server schränkt entfernten Lightning-Zugriff nach kritischer Credential-Exploit-Schwachstelle ein
Wichtige Erkenntnisse
- •BTCPay Server hat Remote-Verbindungen zu LND-Knoten vorübergehend deaktiviert, nachdem eine Schwachstelle Angreifern ermöglichte, Authentifizierungsdaten zu stehlen und Gelder abzufließen.
- •Die Sicherheitslücke legte „Macaroon"-Dateien offen, bei denen es sich um Token zur Steuerung von Lightning-Network-Knoten handelt, was einen unbefugten Zugriff ermöglichte.
- •Die neu veröffentlichte Version 2.4.2 rotiert Anmeldeinformationen auf Standard-BTCPay-Installationen automatisch, obwohl Betreiber mit benutzerdefinierten Setups ihre Verbindungen manuell absichern müssen.
- •Mindestens zwei Einrichtungen, der Hardware-Hersteller Foundation und die Publikation Citadel21, meldeten, dass ihre Lightning-Kanäle geschlossen und Gelder gestohlen wurden.
BTCPay Server, der Open-Source- und selbstgehostete Bitcoin-Zahlungsprozessor, hat öffentliche Remote-Verbindungen zu Lightning-Network-Knoten, die die Lightning Network Daemon (LND)-Software ausführen, vorübergehend eingeschränkt, nachdem Angreifer eine kritische Schwachstelle ausgenutzt hatten, um Anmeldeinformationen zu erlangen und Gelder zu verschieben.
Die Einschränkung verhindert, dass externe Wallets wie Zeus sich über eine BTCPay-Server-Domain oder eine Tor-Onion-Adresse bei Docker-Bereitstellungen verbinden. Lightning-Zahlungen funktionieren weiterhin normal, und BTCPay erklärte, die Remote-Zugriffsoption wiederherzustellen, sobald das Risiko ausreichend eingedämmt wurde.
Der Vorfall ist der jüngste in einer Reihe von Sicherheitsverletzungen, die weit verbreitete Bitcoin-Produkte betreffen, kurz nachdem ein Coldcard-Hardware-Wallet-Fehler mit mehr als 100 Millionen US-Dollar an bestätigten Verlusten in Verbindung gebracht wurde. Beide Fälle betrafen Software und Infrastruktur rund um Bitcoin und nicht Schwachstellen im zugrunde liegenden Protokoll des Netzwerks – eine Unterscheidung, die verdeutlicht, wie das wachsende Ökosystem aus Lightning-fähigen Diensten, Wallet-Integrationen und selbstgehosteten Knotenbereitstellungen die Angriffsfläche über die Bitcoin-Basisschicht hinaus erweitert hat.
Schwachstelle und automatische Credential-Rotation
BTCPay erklärte, dass die Schwachstelle es einem nicht authentifizierten Remote-Angreifer ermöglichte, „Macaroon"-Credential-Dateien zu erlangen – die Authentifizierungs-Token, die zur Steuerung von LND verwendet werden, einer wichtigen Implementierung des Lightning Networks. Mit offengelegten Anmeldeinformationen könnten Angreifer potenziell die Kontrolle über einen LND-Knoten übernehmen und dessen Gelder verschieben.
BTCPays offizieller Sicherheitshinweis besagt, dass Version 2.4.2 LND-Version 0.21.1 installiert und Macaroon-Anmeldeinformationen auf Standard-BTCPay-Installationen automatisch regeneriert.
Das Projekt riet allen Betreibern, auf Anzeichen einer Kompromittierung zu prüfen, darunter nicht autorisierte Zahlungen, unerwartete Kanalschließungen, unbekannte Peers und Abweichungen zwischen ihren Aufzeichnungen und ihren On-Chain- oder Lightning-Guthaben.
Betreiber, die LND über einen eigenen Reverse-Proxy, Tor-Dienst, weitergeleiteten Port oder eine andere Route außerhalb von BTCPay freigeben, müssen ihre Anmeldeinformationen separat rotieren. Die Installation des BTCPay-Updates allein schließt keine Zugriffswege, die unabhängig vom Betreiber verwaltet werden, stellte das Projekt fest.
Betreiber melden Verluste
Mindestens zwei Betreiber meldeten öffentlich Verluste infolge der Schwachstelle.
Zach Herbert, CEO des Hardware-Wallet-Herstellers Foundation, gab bekannt, dass der Lightning-Knoten des Unternehmens über Nacht ausgeräumt wurde. Er präzisierte später, dass die Hot Wallet nicht betroffen war, die Lightning-Kanäle jedoch geschlossen und die Gelder abgeflossen waren.
Die Bitcoin-Publikation Citadel21 berichtete separat, dass ihr Lightning-Knoten ebenfalls ausgeräumt worden war. Keiner der Betreiber nannte den genauen Verlustbetrag.
Verwandt: Coldcard-Exploit treibt Juli-Verluste auf 247 Mio. $ als zweitschlechtester Monat 2026