Finst

BTCPay-Bug trifft Lightning-Nodes und stört Bitcoin-Zahlungen

Über .macaroon-Zugangsdaten konnten Angreifer LND-Nodes übernehmen; unter anderem meldeten Foundation und Citadel21 Verluste. BTCPay empfiehlt ein sofortiges Update auf 2.4.2.

Von Zenz van der Wielen
• 2 Minuten Lesezeit
BTCPay-Bug trifft Lightning-Nodes und stört Bitcoin-Zahlungen

Wichtigste Erkenntnisse

  • Eine kritische Schwachstelle in BTCPay Server hat es Angreifern ermöglicht, Lightning-Nodes mit LND über abgegriffene .macaroon-Zugangsdaten zu leeren.
  • BTCPay fordert Nutzer mit LND auf, umgehend auf Version 2.4.2 zu aktualisieren oder den Server offline zu nehmen; bestätigte Diebstähle gibt es bereits.
  • Unter anderem meldeten Foundation und Citadel21 Verluste, während BTCPay betont, dass standardmäßige On-Chain-Wallets nicht betroffen sind.

Eine kritische Schwachstelle in BTCPay Server hat in dieser Woche erneut gezeigt, wie anfällig die Bitcoin-Zahlungsinfrastruktur sein kann. Angreifer konnten Lightning-Nodes hinter BTCPay ausräumen, nachdem sie Zugangsdaten erlangt hatten, die LND freischalten. LND ist die am weitesten verbreitete Software für den Betrieb einer Lightning Node.

BTCPay teilte am Freitagabend mit, dass Nutzer mit LND sofort auf Version 2.4.2 wechseln oder ihren Server vorübergehend offline nehmen sollten. Das Projekt bestätigte zudem, dass Gelder entwendet wurden. Wie viele Nutzer betroffen sind und wie viel Bitcoin abgezogen wurde, nannte BTCPay allerdings nicht.

Wie der Angriff ablief

Nach Angaben von BTCPay konnte ein nicht authentifizierter Angreifer aus der Ferne sogenannte .macaroon-Dateien abgreifen. Dabei handelt es sich um Zugangsdaten, mit denen Software die Berechtigung erhält, mit einer LND-Node zu kommunizieren. In den von BTCPay untersuchten Fällen standen genau diese Dateien im Fokus. Anschließend konnten die Angreifer die Node übernehmen und Gelder verschieben.

Zu den betroffenen Parteien gehörte der Hardware-Wallet-Hersteller Foundation. Geschäftsführer Zach Herbert erklärte, dass Angreifer die BTCPay-Lightning-Node des Unternehmens über Nacht leergeräumt hätten. Dabei seien die Kanäle geschlossen und die Gelder abgezogen worden. Die On-Chain-Hot-Wallet von BTCPay selbst sei nach seinen Angaben nicht betroffen gewesen.

Auch Citadel21, das Bitcoin-Medium des pseudonymen Kommentators hodlonaut, meldete, dass die eigene Lightning-Node leergeräumt worden sei. Dort soll sich allerdings nur ein kleiner Betrag befunden haben.

Warum das breiter relevant ist

BTCPay Server ist ein Open-Source- und selbst gehosteter Bitcoin-Zahlungsprozessor, mit dem Händler Bitcoin direkt annehmen können, sowohl On-Chain als auch über Lightning. Gerade weil viele Nutzer ihre eigenen Wallets und Nodes verwalten, kann ein Fehler in der Software unmittelbare Folgen für operative Gelder und Zahlungsströme haben.

Besonders heikel ist das in einer Phase, in der auch andere selbst gehostete Speicherlösungen unter Druck stehen. Ein jüngster Angriff auf Hardware-Wallets hat gezeigt, wie schnell ein Fehler im Key-Management zu realen Verlusten führen kann, etwa bei einem aktiven Bitcoin-Wallet-Exploit.

Zusätzlich spielt der Zeitpunkt eine Rolle. Die Schwachstelle war bereits von Mitgliedern des Bitcoin Red Team gemeldet worden, einer Gruppe von Entwicklern, die KI-Modelle nutzt, um Bugs in Bitcoin-Codebasen aufzuspüren und die in der vergangenen Woche Tausende Meldungen zu Hunderten Projekten eingereicht hat. BTCPay lobte Craig Raw, Rob Hamilton, Calle und Evan Kaloudis dafür, dass sie das Problem verantwortungsvoll gemeldet und bei der Analyse geholfen haben.

Was Betreiber jetzt wissen müssen

Später stellte BTCPay klar, dass die standardmäßigen On-Chain-Wallets, einschließlich der innerhalb von BTCPay erstellten Hot Wallets, von diesem Credential-Fehler nicht betroffen seien. Die Gefahr betrifft demnach vor allem Installationen mit LND. Allerdings können auch Gelder in der On-Chain-Wallet von LND selbst gefährdet sein, weil sie unter die kompromittierte Lightning-Node fallen.

Das Kryptounternehmen hat bislang keine technischen Details zur Schwachstelle veröffentlicht, weil Betreiber zunächst Zeit zum Patchen brauchen. Ein vollständiger Postmortem soll in den kommenden Tagen folgen. Für europäische Krypto-Nutzer und Händler ist der Fall vor allem deshalb relevant, weil er zeigt, dass nicht nur Smart Contracts oder Börsen Risiken bergen, sondern auch die Softwareebene rund um Bitcoin-Zahlungen und das Node-Management.

Haftungsausschluss: Dieser Inhalt dient ausschließlich zu Informationszwecken und stellt keine finanzielle, anlagebezogene, rechtliche oder steuerliche Beratung dar. Die bereitgestellten Informationen können unvollständig, ungenau oder veraltet sein und sollten nicht als solche herangezogen werden. Nichts auf dieser Website sollte als Empfehlung zum Kauf, Verkauf oder Halten von Kryptowährungen angesehen werden. Investitionen in Krypto-Assets sind mit Verlustrisiken verbunden.