Das quelloffene Zahlungssystem BTCPay Server, mit dem Onlineshops und Händler weltweit Bitcoin annehmen, hat am späten Sonntagabend alle Betreiber aufgefordert, ihre Server abzuschalten. Angreifer hatten auf mehreren Installationen die Hot Wallets leergeräumt, also die Wallets, deren Schlüssel direkt auf dem Server liegt. Betroffen sind nach bisherigem Stand Server mit Version 2.4.1 oder älter. Wie viele Händler Geld verloren haben und wie viel, hat das Projekt nicht gesagt.
Der Angriff folgt wenige Tage auf den Rekordhack bei der Kryptobörse Binance mit über 6 Mrd. USD Schaden und trifft die andere Seite des Marktes. Bei BTCPay gibt es keine zentrale Firma, die Auszahlungen anhält, und keinen Notschalter für alle Server. Jeder Händler betreibt seine eigene Installation und ist damit auch für deren Sicherheit allein zuständig.
Was am Sonntag passiert ist
Kurz vor Mitternacht deutscher Zeit meldete das BTCPay-Team auf X, dass Unbekannte die Hot Wallets mehrerer Server abräumen. Wer eine Instanz betreibt, solle sie mit dem Befehl zum Herunterfahren stoppen, bis die Untersuchung abgeschlossen ist. Der Aufruf galt zunächst für alle Versionen, weil noch niemand wusste, wo die Lücke sitzt.
Rund zwei Stunden später grenzte Gründer Nicolas Dorier den Kreis ein. Die gemeldeten Fälle betreffen offenbar Versionen vor 2.4.2, die öffentlichen Server des Projekts mit der aktuellen Version 2.4.7 seien nicht angegriffen worden. Der Angreifer habe sich auf den betroffenen Servern als Administrator angemeldet, wie ihm das gelang, sei noch unklar.
Wenige Stunden danach meldete BTCPay, einen Angriffsweg für Version 2.4.1 und älter gefunden zu haben. Version 2.4.1 erschien am 23. Juli. Bei Nutzern der aktuellen Version 2.4.7 gebe es keine glaubwürdigen Berichte über leergeräumte Wallets. Betroffene sollen ihre Daten und Protokolle an das Sicherheitsteam schicken. Einige Hosting-Anbieter, darunter LunaNode, haben BTCPay-Installationen ihrer Kunden nach Angaben des Projekts vorsorglich selbst abgeschaltet.
Warum eine Hot Wallet auf dem Server so riskant ist
BTCPay Server ist ein kostenloses Programm, das Händler selbst betreiben. Es nimmt Zahlungen entgegen, ohne dass ein Zahlungsdienstleister dazwischensitzt und Gebühren verlangt. Wer möchte, kann zusätzlich eine Hot Wallet einrichten. Dann liegen die Wiederherstellungswörter der Wallet, die Seed Phrase, auf dem Server, der rund um die Uhr am Internet hängt. Der Vorteil ist Bequemlichkeit, denn der Server kann Auszahlungen und Rückerstattungen selbst unterschreiben, ohne dass jemand eingreift.
Genau darin liegt die Gefahr. Wer sich als Administrator anmeldet, kommt an diese Wörter und kann das ganze Guthaben an eine eigene Adresse schicken. Eine Bitcoin-Überweisung lässt sich danach nicht zurückholen. BTCPay selbst markiert die Hot-Wallet-Funktion in der Anleitung mit dem Warnhinweis „Gefahr“ und schreibt dort, dass sie Sicherheitsfolgen hat. Wer auf die Hot Wallet verzichtet, hat seinen Schlüssel nicht auf dem Server liegen.
Bei dezentraler Software ist jeder Betreiber sein eigener Sicherheitschef
Bei Binance konnte die Börse nach dem Hack vergangene Woche alle Auszahlungen anhalten, 45 Stunden lang. Bei BTCPay gibt es diese Möglichkeit nicht. Das Projekt kann nur warnen, über X, über die eigene Community und über die Hoster. Ob ein Händler die Warnung liest und seinen Server abschaltet, liegt bei ihm. Deshalb war der erste Aufruf so breit gefasst.
Nach unserer Einschätzung zeigt der Fall die Kehrseite eines Prinzips, das wir grundsätzlich für richtig halten. Selbstverwahrung schützt davor, dass eine Börse pleitegeht oder Gelder einfriert. Vor veralteter Software schützt sie nicht. Wer seine Bitcoin-Kasse selbst betreibt, übernimmt auch die Aufgaben, die sonst eine Sicherheitsabteilung erledigt: Updates sofort einspielen, Zugänge prüfen und nur so viel Geld auf der Hot Wallet lassen, wie der Tagesbetrieb braucht.
Schon der zweite Alarm in diesem Jahr
Für BTCPay ist es nicht der erste Vorfall. Im August nutzten Angreifer eine kritische Lücke in allen Versionen vor 2.4.2 aus. Über sie ließen sich die Zugangsdaten von Lightning-Knoten auslesen, über die Händler schnelle Kleinzahlungen abwickeln. Version 2.4.2 schloss die Lücke, BTCPay schränkte danach den Fernzugriff auf Lightning-Knoten ein. Unterstützer des Projekts setzten damals eine Belohnung von 10 % für zurückgegebene Beute aus, höchstens 3 BTC.
Die jetzt betroffenen Server laufen auf Versionen, die schon das Sicherheitsupdate vom August nicht enthalten. Ob die Angreifer dieselbe Lücke genutzt haben oder eine neue, hat BTCPay nicht gesagt.
Dazu kommt ein zweiter Strang. Am Donnerstag veröffentlichte BTCPay Version 2.4.7 als Notfall-Update. Es schließt eine kritische und mehrere mittelschwere Schwachstellen, die ein Prüfwerkzeug des KI-Unternehmens Anthropic für quelloffene Software gefunden hatte. Ob die Angriffe vom Wochenende mit diesen Lücken zusammenhängen, ist ebenfalls offen. Klar ist nur, dass zwischen Update und Angriff keine vier Tage lagen.
Was Betreiber jetzt tun sollten
Wer BTCPay Server betreibt, sollte zuerst die Version prüfen. Läuft noch 2.4.1 oder älter, gehört der Server abgeschaltet, bis Version 2.4.7 installiert ist. Danach lohnt der Blick, ob eine Hot Wallet eingerichtet ist und welche Beträge darauf liegen. Wer verdächtige Abbuchungen findet, sollte Daten und Protokolle an das Sicherheitsteam von BTCPay schicken, das ausdrücklich darum bittet.
Ein abgeräumtes Guthaben auf einer Hot Wallet ist nach heutigem Stand das Geld des Händlers. Hinweise, dass Kunden beim Bezahlen in einem betroffenen Shop selbst Geld verloren haben, gibt es in den bisherigen Meldungen nicht. Wie Hot Wallet und Cold Storage sich unterscheiden, erklären wir im Grundlagenartikel zu Hot und Cold Wallets.
Was noch offen ist
BTCPay hat weder die Zahl der betroffenen Server noch die Höhe der Beute genannt, und auch der genaue Angriffsweg ist nicht öffentlich. Ungeklärt bleibt, ob die Lücke vom August, eine der am Donnerstag geschlossenen Schwachstellen oder etwas Neues dahintersteckt.
Häufige Fragen zu BTCPay Server und dem Angriff
Was ist BTCPay Server?
BTCPay Server ist ein kostenloses, quelloffenes Programm, mit dem Onlineshops und Händler Bitcoin-Zahlungen selbst annehmen. Es gibt keine Betreiberfirma dahinter, jeder Händler installiert und pflegt seinen eigenen Server.
Welche BTCPay-Versionen sind betroffen?
Nach Angaben des Projekts trifft der Angriff Server mit Version 2.4.1 oder älter, auf denen eine Hot Wallet eingerichtet ist. Für die aktuelle Version 2.4.7 gibt es bislang keine glaubwürdigen Berichte über leergeräumte Wallets.
Haben Kunden beim Bezahlen Geld verloren?
Darauf gibt es in den bisherigen Meldungen keine Hinweise. Abgeräumt wurden die Hot Wallets der Händler, also das Guthaben, das der Händler selbst auf seinem Server liegen hatte.
Was sollten Betreiber eines BTCPay Servers jetzt tun?
Zuerst die Version prüfen und einen Server mit 2.4.1 oder älter abschalten, bis Version 2.4.7 installiert ist. Danach lohnt der Blick, ob eine Hot Wallet eingerichtet ist und wie viel darauf liegt. Verdächtige Abbuchungen meldet man samt Protokollen an das Sicherheitsteam von BTCPay.
Lassen sich gestohlene Bitcoin zurückholen?
In der Regel nicht, weil eine Bitcoin-Überweisung endgültig ist und keine Stelle sie zurückbuchen kann. Beim Vorfall im August setzten Unterstützer des Projekts deshalb eine Belohnung von 10 % für zurückgegebene Beute aus, höchstens 3 BTC.
Dieser Beitrag dient der allgemeinen Information und stellt keine Anlage-, Rechts- oder Steuerberatung dar. Der Handel mit Kryptowährungen ist mit erheblichen Risiken verbunden und kann zum Totalverlust des eingesetzten Kapitals führen.
Hinweis: Das Titelbild dieses Beitrags wurde mit Künstlicher Intelligenz erstellt.