Diebstähle über BTCPay Server zielen auf veraltete Hot Wallets ab

Diebstähle über BTCPay Server haben zu einer dringenden Aufforderung zur Aktualisierung geführt, nachdem Angreifer Kryptowährungen aus Hot Wallets auf veralteten Installationen entwendet hatten. Am 2. November bestätigte das Projekt einen Angriffsvektor, der Version 2.4.1 und frühere Versionen betrifft, und forderte Betreiber auf, auf Version 2.4.7 zu aktualisieren.

Angreifer verschaffen sich Zugang zu älteren Installationen

Das Projekt erhielt am Abend des 1. November (UTC) erste Berichte über nicht autorisierte Bitcoin- und Litecoin-Zahlungen. Zunächst empfahlen die Entwickler den Betreibern, ihre Server herunterzufahren, während die Ermittler die Vorfälle untersuchten. Außerdem baten sie Anbieter virtueller privater Server (VPS), betroffene Installationen vorsorglich offline zu nehmen.

BTCPay-Server-Gründer Nicolas Dorier erklärte, dass sich die Untersuchung darauf konzentriere, wie ein Angreifer Administratorzugriff auf ältere Installationen erlangt hatte. Obwohl das Projekt kürzlich eine weitere kritische Sicherheitslücke offengelegt hatte, deuteten die Beweise auf Schwachstellen in Versionen vor 2.4.2 hin. Die Entwickler bestätigten anschließend, dass der identifizierte Angriffsvektor auf Version 2.4.1, die am 23. Juli 2026 veröffentlicht wurde, sowie auf frühere Versionen abzielte.

Unterdessen erklärte das Projekt, dass keine glaubwürdigen Berichte über die Leerung von Hot Wallets bei Nutzern der Version 2.4.7 vorlägen. Diese Aussage spiegelt jedoch lediglich die während der Untersuchung verfügbaren Berichte wider und stellt keine Garantie gegen sämtliche möglichen Angriffe dar. Die Entwickler nehmen weiterhin Vorfallmeldungen entgegen und unterstützen betroffene Betreiber.

Aktuelle Sicherheitsupdates rücken in den Fokus

BTCPay Server bietet eine quelloffene, selbst gehostete Zahlungsabwicklungslösung, mit der Unternehmen Kryptowährungen direkt in ihre eigenen Wallets empfangen können. Das System verwaltet Zahlungsrechnungen und überprüft Zahlungen, einschließlich Transaktionen über das Lightning Network. Dadurch können Händler Zahlungen abwickeln, ohne auf einen Zahlungsdienstleister angewiesen zu sein oder Bearbeitungsgebühren an die Plattform zahlen zu müssen.

Das Projekt veröffentlichte Version 2.4.2 am 7. August. Später, am 29. Oktober, stellten die Entwickler Version 2.4.7 als dringendes Sicherheitsupdate bereit, nachdem Anthropics Frontier-OSS-Scanner eine kritische Schwachstelle entdeckt hatte. Die Ermittler brachten die gemeldeten Diebstähle über BTCPay Server jedoch mit dem älteren Angriffsvektor in Verbindung, der Installationen mit Version 2.4.1 oder früher betraf.

Diese Unterscheidung trennt die kürzlich offengelegte Sicherheitslücke von den Schwachstellen, die mit der Leerung der Kryptowährungs-Wallets in Verbindung stehen. Dennoch forderten die Entwickler alle Betreiber auf, die neueste Version zu installieren. Nutzer sollten daher die aktuellen Update-Anweisungen des Projekts befolgen, anstatt davon auszugehen, dass eine ältere Installation weiterhin geeignet ist.

Betreiber sollen aktualisieren und Verluste melden

Das Projekt empfiehlt, Installationen mit Version 2.4.1 oder früher so schnell wie möglich offline zu nehmen. Anschließend können Betreiber über Server Settings → Maintenance → Update eine Aktualisierung durchführen. Bei Docker-Installationen sehen die veröffentlichten Anweisungen vor, dass Administratoren eine SSH-Verbindung herstellen und das Update-Skript aus dem Bereitstellungsverzeichnis ausführen.

Unterdessen sollten alle, die durch die Diebstähle über BTCPay Server Gelder verloren haben, Einzelheiten zu dem Vorfall an security@btcpayserver.org senden. Die Entwickler forderten Betroffene außerdem auf, ihre Verluste bei den örtlichen Behörden zu melden. Die Untersuchung dauert an, während das Projekt weitere Informationen von betroffenen Nutzern sammelt.