BTCPay Server, die kostenlose Open-Source-Software, mit der Unternehmen Bitcoin-Zahlungen annehmen, rief Betreiber am Sonntag dazu auf, ihre Instanzen abzuschalten, nachdem Berichte über Angreifer aufgekommen waren, die Hot Wallets abzogen, die mit Servern der Plattform verbunden sind.

Das Projekt teilte später mit, der Angriff habe Instanzen mit Version 2.4.1 oder älter ins Visier genommen, und es gebe keine glaubhaften Berichte über geleerte Hot Wallets bei Nutzern der neuesten Version 2.4.7.

Die Warnung wurde am 1. November um 17:25 Uhr ET auf X veröffentlicht:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) 1. November 2026

Der in der Warnung genannte Befehl ./btcpay-down.sh fährt eine laufende BTCPay-Instanz herunter. Etwa zwei Stunden später erklärte BTCPay-Gründer Nicolas Dorier, die Berichte dürften Versionen älter als 2.4.2 betreffen, und der Angreifer habe sich mit Administratorzugriff auf die betroffenen Server eingeloggt.

Am Sonntagnachmittag teilte das Projekt in einem Follow-up-Beitrag auf X mit, seine Untersuchung habe einen Angriffsvektor identifiziert, der Instanzen mit Version 2.4.1 vom 23. Juli oder älter zum Ziel nehme. „Wir haben keine glaubhaften Berichte über geleerte Hot Wallets bei Nutzern der neuesten Version 2.4.7“, erklärte das Projekt, appellierte an alle, ihre Software aktuell zu halten, und bat betroffene Nutzer, Details und Protokolle an das Sicherheitsteam zu senden.

Einige Hosting-Anbieter, darunter LunaNode, haben BTCPay-Instanzen automatisch heruntergefahren, um die Ausnutzung älterer Versionen zu verhindern, so das Projekt. BTCPay hat nicht offengelegt, wie viele Server betroffen sind oder wie viel Bitcoin gestohlen wurde. Das Ausmaß des Vorfalls bleibt unklar. Die ursprüngliche Warnung des Projekts knüpfte die Empfehlung zum Abschalten an den Abschluss der Untersuchung, sodass betroffene Betreiber auf das Ergebnis der Prüfung warteten, bevor sie ihre Instanzen wieder online brachten.

Hot Wallets und BTCPays Notfall-Update

Da BTCPay selbst gehostet wird, betreibt jeder Händler die Software auf seinem eigenen Server, und es gibt keinen zentralen Betreiber, der Instanzen netzwerkweit abschalten könnte. Dieses verteilte Setup überlässt auch das Patchen den einzelnen Betreibern, da Updates das Netz erst erreichen, wenn jeder Serverbesitzer sie einspielt. Händler können wählen, eine Hot Wallet zu betreiben, bei der der Wallet-Seed auf dem mit dem Internet verbundenen Server gespeichert wird, damit Transaktionen automatisch signiert werden können. „Sweeping“ – das in der Warnung des Projekts beschriebene Manöver – überträgt den gesamten Wallet-Saldo auf eine Adresse, die der Angreifer kontrolliert. Cold Wallets hingegen halten die Signaturschlüssel offline und können keine Transaktionen automatisch signieren. BTCPays eigene Dokumentation kennzeichnet die Hot-Wallet-Funktion als „DANGER“ und warnt, dass sie „mit sicherheitsrelevanten Auswirkungen verbunden“ ist.

Die Angriffe erfolgten wenige Tage nach der Veröffentlichung von Version 2.4.7 am Donnerstag, einem Notfall-Update, das eine kritische und mehrere Schwachstellen mittlerer Schwere behebt, die dem Projekt zufolge über Anthrics Frontier-Scanner für Open-Source-Software gemeldet wurden. Das Projekt hat nicht gesagt, ob die Angreifer eine dieser Schwachstellen ausnutzten.

Es ist nicht der erste Sicherheitsschock für das Projekt in diesem Jahr. Im August warnte BTCPay, dass eine kritische Schwachstelle in allen Versionen vor 2.4.2 aktiv ausgenutzt werde, und forderte die Nutzer auf, zu aktualisieren oder ihre Server herunterzufahren. Unterstützer des Projekts finanzierten später eine Recovery-Prämie von 10 % aller an die Opfer zurückgegebenen gestohlenen Mittel, begrenzt auf 3 BTC.