BTCPay Server, die Bitcoin-Zahlungsplattform, hat Betreiber aufgefordert, ihre Server abzuschalten, nachdem Berichte über Angreifer eingegangen waren, die Hot Wallets leeren. Am Montag teilte das Projekt mit, der identifizierte Angriffsvektor ziele auf Instanzen mit Version 2.4.1 oder älter.
Was BTCPay Server mitgeteilt hat
In einer ersten Warnung bat das Projekt Betreiber, ihre Server-Instanzen abzuschalten, während es die Berichte über unbefugte Wallet-Abbuchungen untersuchte. BTCPay veröffentlichte außerdem eine Anleitung, wie sich Server offline nehmen lassen.
Am Montag erklärte BTCPay in einem Update, die Untersuchung habe einen Angriffsvektor gegen Instanzen mit Version 2.4.1 oder älter identifiziert. Version 2.4.1 erschien am 23. Juli 2026.
Das Projekt gab an, es lägen keine glaubwürdigen Berichte über geleerte Hot Wallets bei Nutzern der aktuellen Version 2.4.7 vor, und forderte Betreiber auf, ihre Installationen zu aktualisieren.
Welche Versionen betroffen sind
BTCPay-Server-Version | Aussage von BTCPay |
|---|---|
2.4.1 oder älter | Ziel des identifizierten Angriffsvektors |
2.4.7 (aktuell) | Keine glaubwürdigen Berichte über Diebstähle |
Die einzige ausdrückliche Empfehlung des Projekts lautet, auf 2.4.7 zu aktualisieren. BTCPay hat keinen separaten Fix neben diesem Update angekündigt und die Funktionsweise des Angriffs nicht öffentlich beschrieben.
Was du tun solltest, wenn du BTCPay betreibst
- Schalte deinen Server gemäß der ersten Warnung ab, wenn du Version 2.4.1 oder älter nutzt
- Aktualisiere deine Installation auf 2.4.7, für die BTCPay keine glaubwürdigen Diebstahlberichte vorliegen
- Wenn du betroffen warst, schicke Informationen und Logs an das BTCPay-Sicherheitsteam
Was noch unklar ist
BTCPay hat drei zentrale Details zum Vorfall noch nicht offengelegt:
- Die Zahl der betroffenen Betreiber
- Den Wert der gestohlenen Gelder
- Technische Details dazu, wie Angreifer Zugriff auf die Wallets erhielten
Der Vorfall ereignet sich weniger als drei Monate, nachdem BTCPay nach einem Angriff im August den Remote-Zugriff auf Lightning eingeschränkt hatte. Dieser Angriff nutzte eine Schwachstelle aus, um Zugangsdaten für den Lightning Network Daemon (LND) zu erlangen und Gelder zu stehlen.
Ob der neue Angriffsvektor mit der Schwachstelle vom August zusammenhängt, ist unklar.