Der Bitcoin-Zahlungsdienst BTCPay Server hat seine Nutzer am Sonntag aufgefordert, ihre Server vorübergehend abzuschalten. Anlass sind mutmaßliche Angriffe auf Hot Wallets, bei denen bislang unbekannte Mengen an Bitcoin entwendet wurden. Eine Lösung für das Sicherheitsproblem gibt es noch nicht.
“Wenn ihr eine Instanz betreibt, schaltet sie bitte ab, bis wir die Untersuchung abgeschlossen haben”, erklärte das Open-Source-Projekt auf X. Wie viele Händler betroffen sind und wie hoch die Verluste ausfallen, ist bislang unklar.
Ältere Softwareversionen offenbar betroffen
Erste Hinweise auf die Ursache lieferte BTCPay-Gründer Nicolas Dorier rund zwei Stunden nach der Warnung. Die gemeldeten Diebstähle beträfen offenbar “BTCPay Server-Versionen vor 2.4.2”, erklärte er. Auf den betroffenen Systemen hätten sich Angreifer mit Administratorrechten angemeldet. Wie sie diesen Zugriff erlangten, untersucht das Entwicklerteam noch.
Ob neuere Versionen ebenfalls gefährdet sind, ließ Dorier offen. Er bestätigte lediglich, dass die öffentlichen Server des Projekts mit Version 2.4.7 “nicht angegriffen wurden”.
Warum Hot Wallets ein Sicherheitsrisiko darstellen
BTCPay Server ermöglicht Händlern, Bitcoin-Zahlungen ohne zwischengeschaltete Zahlungsdienstleister entgegenzunehmen. Die Software läuft auf selbst betriebenen Servern und unterstützt Hot Wallets, die dauerhaft mit dem Internet verbunden sind.
Dabei wird die Seed Phrase direkt auf dem Server gespeichert, sodass ausgehende Transaktionen automatisch signiert werden können. Verschaffen sich Angreifer Zugriff auf das System, können sie deshalb auch Bitcoin an eigene Adressen übertragen. Die BTCPay-Dokumentation warnt ausdrücklich vor den damit verbundenen Sicherheitsrisiken.
Bereits im August hatte das Projekt eine Schwachstelle in Softwareversionen vor 2.4.2 bestätigt. Über diese konnten Angreifer Zugangsdaten der Lightning-Software LND auslesen, Kontrolle über betroffene Nodes erlangen und Gelder entwenden. Mit Version 2.4.2 wurde die Sicherheitslücke geschlossen. Ob die aktuellen Vorfälle damit zusammenhängen, ist bislang nicht bekannt.
