BTCPay beschränkt Lightning-Fernzugriff nach Diebstahl durch Angreifer

BTCPay Server hat den öffentlichen Fernzugriff auf Lightning-Knoten, auf denen der Lightning Network Daemon (LND) läuft, vorübergehend eingeschränkt, nachdem Angreifer eine kritische Schwachstelle ausgenutzt hatten, um Zugangsdaten zu erlangen und Gelder abzuziehen. 

BTCPay erklärte , dass die Einschränkung verhindert, dass externe Wallets wie Zeus bei Docker-Bereitstellungen über eine BTCPay-Server-Domain oder Tor-Onion-Adresse eine Verbindung herstellen. Lightning-Zahlungen könnten fortgesetzt werden, die Remote-Zugriffsoption solle wiederhergestellt werden, sobald dies sicher sei. 

Version 2.4.2 installiert LND-Version 0.21.1 und erneuert die Macaroon-Zugangsdaten bei Standard-BTCPay-Installationen automatisch. Das Projekt riet Betreibern, auf nicht autorisierte Zahlungen, unerwartete Kanalschließungen, unbekannte Peers und Abweichungen bei Onchain- oder Lightning-Guthaben zu achten.

Der BTCPay-Vorfall ist der jüngste Sicherheitsvorfall bei verbreiteten Bitcoin-Produkten, nach einer Schwachstelle in der Coldcard-Hardware-Wallet, die mit mehr als 100 Millionen US-Dollar an bestätigten Verlusten in Verbindung steht. Die getrennten Vorfälle betrafen Software rund um Bitcoin, nicht jedoch das zugrunde liegende Netzwerkprotokoll.

Update erneuert Lightning-Zugangsdaten automatisch

BTCPay erklärte, die Schwachstelle habe einem nicht authentifizierten Remote-Angreifer ermöglicht, „Macaroon“-Dateien mit Zugangsdaten zu erlangen, mit denen sich LND, eine Implementierung des Lightning Network, steuern lässt. Die offengelegten Zugangsdaten könnten Angreifern ermöglichen, die Kontrolle über einen LND-Knoten zu übernehmen und dessen Gelder abzuziehen.

Laut dem Sicherheitshinweis des Projekts installiert Version 2.4.2 LND-Version 0.21.1 und erneuert Macaroon-Zugangsdaten bei Standard-BTCPay-Installationen automatisch. Betreibern wurde geraten, auf nicht autorisierte Zahlungen, unerwartete Kanalschließungen, unbekannte Peers und Abweichungen zwischen ihren Aufzeichnungen sowie Onchain- oder Lightning-Guthaben zu achten. 

Verwandt: Coldcard-Exploit treibt Verluste im Juli auf 247 Mio. US-Dollar – zweitgrößter Verlustmonat 2026

BTCPay erklärte zudem, Betreiber, die LND über einen eigenen Reverse Proxy, Tor-Dienst, weitergeleiteten Port oder einen anderen Weg außerhalb von BTCPay zugänglich machen, müssten ihre Zugangsdaten separat erneuern. Die Installation des Updates schließe keine Zugangswege, die Betreiber unabhängig verwalten. 

Mindestens zwei Betreiber meldeten öffentlich Verluste. Foundation-CEO Zach Herbert erklärte , der Lightning-Knoten des Hardware-Wallet-Unternehmens sei über Nacht geleert worden. Er stellte später klar , das Hot Wallet des Unternehmens sei nicht betroffen gewesen, während die Lightning-Kanäle geschlossen und die Gelder abgezogen worden seien. 

Die Bitcoin-Publikation Citadel21 meldete ebenfalls , ihr Lightning-Knoten sei geleert worden. Keiner der Betreiber gab die Höhe des Verlusts bekannt. 

Magazin: Die 10 seltsamsten Dinge, die je tokenisiert wurden … darunter Fürze