BTCPay Server: Angreifer räumen Hot Wallets von Händlern mit veralteten Servern leer
BTCPay Server, eine kostenlose Open-Source-Software, mit der Läden und Händler Bitcoin ohne zwischengeschalteten Zahlungsdienst annehmen, hat seine Nutzer vor Diebstählen gewarnt. Angreifer haben die sogenannten Hot Wallets auf selbst betriebenen Servern mit veralteten Versionen geleert. Die aktuelle Version 2.4.7 ist laut dem Projekt nicht betroffen.
Was passiert ist
Beim Projekt gingen Meldungen über geleerte Hot Wallets ein – Wallets, deren private Schlüssel direkt auf dem Zahlungsserver liegen. Gestohlen wurden Bitcoin und Litecoin. BTCPay riet zunächst allen Betreibern, ihre Server abzuschalten, während es den Fall untersuchte. Anschließend teilte das Projekt mit, es habe einen Angriffsweg gefunden, der auf Server mit Version 2.4.1 (veröffentlicht am 23. Juli 2026) oder älter zielt. Die Angreifer verschafften sich offenbar Administratorrechte, indem sie Schwachstellen ausnutzten, die in späteren Versionen behoben sind.
Bereits am 29. Oktober hatte das Projekt eine kritische Schwachstelle bekannt gemacht und Version 2.4.7 als Notfall-Update veröffentlicht. Für diese Version gibt es bislang keine glaubwürdigen Berichte über geleerte Wallets. Wie viele Händler betroffen sind und wie viel gestohlen wurde, ist nicht bekannt. Unklar ist auch, ob die Diebstähle mit einem Angriff im August zusammenhängen, nach dem BTCPay den Fernzugriff auf Lightning-Nodes eingeschränkt hatte.
Wer betroffen ist
Die Diebstähle betreffen Händler und Betreiber, die einen eigenen BTCPay Server betreiben, darauf eine Hot Wallet nutzen und die Software nicht aktualisiert hatten. Bei Setups, in denen der Server nur den öffentlichen Schlüssel einer externen Wallet kennt – etwa einer Hardware-Wallet –, liegen keine privaten Schlüssel auf dem Server, mit denen sich Geld ausgeben ließe.
Was Händler jetzt tun sollten
- Sofort aktualisieren: Installiere Version 2.4.7 über Server-Einstellungen → Wartung → Update. Bei Docker-Installationen erledigt das Update-Skript im Verzeichnis btcpayserver-docker dasselbe.
- Veraltete Server vom Netz nehmen: Wer Version 2.4.1 oder älter nutzt und nicht sofort aktualisieren kann, sollte den Server abschalten.
- Einstellungen prüfen: Kontrolliere, dass keine unbekannten Administratorkonten existieren und die Empfangs-Wallet nicht verändert wurde.
- Wenig oder nichts in der Hot Wallet lassen: Binde wenn möglich eine Hardware-Wallet als Watch-only-Wallet ein, damit Zahlungen direkt in einer Wallet landen, deren Schlüssel nicht auf dem Server liegen.
- Schäden melden: Betroffene sollen sich an das Sicherheitsteam von BTCPay wenden und Anzeige bei der Polizei erstatten.
Warum das wichtig ist
BTCPay Server ist ein Grundpfeiler für Bitcoin-Zahlungen im Alltag: Läden können damit Bitcoin annehmen, ohne Gebühren an Dritte zu zahlen und ohne die Kontrolle abzugeben. Selbst hosten heißt aber auch, selbst für Updates verantwortlich zu sein. Wie bei der jüngsten Electrum-Sicherheitslücke war veraltete Software der Schwachpunkt – nicht Bitcoin selbst. Wer seinen Server aktuell hält und die Schlüssel nicht auf dem Server lagert, ist auf der sicheren Seite.
Quellen
