BTCPay Server warnt nach Hot-Wallet-Diebstahl
Angreifer trafen vor allem BTCPay-Server-Instanzen auf alten Versionen; der Open-Source-Bitcoin-Zahlungsprozessor bat Betreiber nach dem Hot-Wallet-Drain, ihre Server auszuschalten.
Wichtigste Erkenntnisse
- Angreifer verschafften sich Zugang zu veralteten BTCPay-Server-Instanzen und leerten dort Hot Wallets.
- BTCPay Server bat Betreiber am 1. November, ihre Instanz auszuschalten, solange die Untersuchung läuft.
- Version 2.4.1 und älter sind betroffen; für Version 2.4.7 sind keine glaubwürdigen Meldungen über Drains bekannt.
Angreifer haben Zugang zu veralteten BTCPay-Server-Instanzen erhalten und dort Hot Wallets geleert. Nach Angaben des Teams deuten die Spuren auf Fehler hin, die schon vor einem Patch im August bestanden, während es für die neueste Version 2.4.7 keine glaubwürdigen Meldungen über Drains gibt.
Alte Versionen betroffen
BTCPay Server bat am 1. November alle Betreiber, ihre Instanz auszuschalten, bis die Untersuchung abgeschlossen ist. Danach wurde klarer, dass die Angriffsmethode Version 2.4.1 betrifft, die am 23. Juli 2026 erschienen ist, sowie alles, was älter ist. Der Schaden trifft vor allem Nutzer, die nie aktualisiert haben, während der Gesamtschaden noch nicht bekannt ist.
Gründer Nicolas Dorier sagte, dass sich der Angreifer als Admin auf den betroffenen Servern angemeldet habe, aber noch nicht feststeht, wie genau das passiert ist. Die Untersuchung fand allerdings Spuren von Schwachstellen, die älter sind als Version 2.4.2. Das ist relevant, weil dieses Release im August bereits einen kritischen Fehler geschlossen hat, über den Angreifer aus der Ferne Lightning-Node-Daten abgreifen und verbundene Wallets leeren konnten.
Warum Hot Wallets verwundbar sind
BTCPay Server ist ein Open-Source-Bitcoin-Zahlungsprozessor, den Händler selbst hosten. In einem Hot-Wallet-Setup speichert der Server die privaten Schlüssel selbst, damit das System Zahlungen senden kann, ohne dass der Betreiber jede Transaktion einzeln signiert. Wer Admin-Zugriff auf so einen Server bekommt, kann dadurch auch die Coins verschieben.
Das Team sagt, dass Hosting-Anbieter wie LunaNode möglicherweise schnell eingegriffen haben, indem sie Kundeneinstellungen auf alten Versionen automatisch deaktiviert haben. Dorier nutzt selbst Version 2.4.7 mit einer Hot Wallet, warnte aber zugleich, dass große Beträge nicht auf einen Server gehören. Er schrieb, dass du dort nicht mehr drauflegen solltest, als du bereit bist zu verlieren.
Breiteres Risiko für Bitcoin-Infrastruktur
Der Fall passt in ein breiteres Muster rund um selbst gehostete Bitcoin-Infrastruktur. Core Lightning hatte kürzlich ebenfalls gewarnt, dass Angreifer ungepatchte Nodes ins Visier nehmen. Für europäische Krypto-Nutzer und Unternehmen zeigt das, dass Selbstverwahrung zwar mehr Kontrolle und Privatsphäre geben kann, aber auch ein striktes Update-Management und schnelle Reaktionen auf Sicherheitsmeldungen erfordert.
Auch verwundbare Lightning-Nodes gerieten zuletzt bereits unter Druck, was zeigt, wie schnell ungepatchte Bitcoin-Infrastruktur zum Ziel wird. Der BTCPay-Server-Fall unterstreicht vor allem, dass eine einmalige Installation nicht ausreicht. Wenn Software nicht aktualisiert wird, kann eine alte Schwachstelle Monate später doch noch zu einem Verlust von Bitcoin führen.