Angreifer verbrachten den Freitag damit, unbemerkt Lightning-Nodes zu leeren, die mit BTCPay Server, dem selbst gehosteten Bitcoin-Zahlungsabwickler, verbunden sind, nachdem das Projekt bestätigt hatte, dass eine kritische BTCPay-Server-Sicherheitslücke aktiv ausgenutzt wird. Der Hardware-Wallet-Hersteller Foundation und das Bitcoin-Zine Citadel21 meldeten beide geleerte Nodes, einige Stunden bevor BTCPay selbst öffentlich warnte. Der Vorfall, der am 7. August 2026 offengelegt wurde, zwang Händler, Börsen und Wallet-Backends, die die Software ausführen, mitten im laufenden Diebstahl zu einer hektischen Suche nach einem Fix.
Summary
Wichtigste Erkenntnisse
- BTCPay Server bestätigte eine kritische, aktiv ausgenutzte Sicherheitslücke und veröffentlichte am 7. August 2026 die Version 2.4.2, um sie zu beheben.
- Der Hardware-Wallet-Hersteller Foundation und das Bitcoin-Zine Citadel21 hatten beide ihre Lightning-Nodes geleert, mit zwangsweise geschlossenen Kanälen und abgezogenen Geldern.
- Gründer Nicolas Dorier sagte, der Bug sei nur entdeckt worden, weil ein Entwickler, Craig Raw von Sparrow Wallet, Gelder verlor und die Logs analysierte – nicht durch KI-gestützte Audits.
- BTCPay ist selbst gehostet, was bedeutet, dass es keinen zentralen Betreiber gibt, der im Namen der Nutzer patchen kann; jeder Serverbetreiber muss individuell aktualisieren.
- Nutzern wird geraten, nach dem Patchen Macaroons und Anmeldedateien zu erneuern, da gestohlene Zugangsdaten auch nach dem Update weiterhin Zugriff gewähren können.
Kritische Sicherheitslücke in BTCPay-Server-Lightning-Nodes ausgenutzt
Das Kernproblem ist einfach, aber gravierend: Ein Fehler in BTCPay Server ermöglichte es Angreifern, Lightning-Nodes zu erreichen und zu leeren, ohne das Hot Wallet eines Nutzers separat kompromittieren zu müssen. BTCPay veröffentlichte um 11:51 Uhr ET eine dringende Mitteilung: „Es gibt eine kritische Sicherheitslücke, die auf BTCPay Server aktiv ausgenutzt wird und zum Verlust von Geldern führen kann.“ Das Projekt forderte Händler auf, sofort zu aktualisieren oder ihre Server herunterzufahren, falls sie nicht umgehend patchen könnten. Dieser Beitrag erreichte Berichten zufolge innerhalb von fünf Stunden 550.000 Aufrufe – ein Zeichen dafür, wie schnell der Alarm sich in der Bitcoin-Zahlungsgemeinschaft verbreitete.
Überblick über den Vorfall und Veröffentlichung des Patches
Dorier, der Gründer von BTCPay, veröffentlichte am selben Morgen Version 2.4.2 mit einer deutlichen Warnung an der Spitze der Release Notes: „Dieses Release enthält die Behebung einer kritischen Sicherheitslücke, die aktiv ausgenutzt wird. Sie müssen so schnell wie möglich aktualisieren.“ Integratoren wurden außerdem angewiesen, NBXplorer, das Wallet-Tracking-Backend von BTCPay, auf Version 2.6.10 zu aktualisieren. Das Release begrenzt zusätzlich die Rate der öffentlichen Rechnungserstellung bei Zahlungsanforderungen und markiert neun Controller-Methoden in fünf Dateien als nicht routbar, wodurch Endpunkte geschlossen werden, die versehentlich über HTTP erreichbar waren.
Betroffene Nutzer und Auswirkungen
Laut Zach Herbert, CEO von Foundation (Hersteller des Hardware-Wallets Passport), war sein Node bereits verschwunden, bevor er die Warnung überhaupt sah. „Unser Foundation-Node wurde über Nacht von Angreifern geleert“, schrieb er und stellte später klar, dass nur der Lightning-Node für die Zahlungsabwicklung betroffen war – das Hot Wallet des Unternehmens blieb unberührt, aber „alle Kanäle wurden geschlossen und die Gelder wurden abgezogen“. hodlonaut, der pseudonyme Kommentator hinter Citadel21, berichtete dasselbe Muster und schrieb, dass der Lightning-Node des Zines „gerade geleert wurde“, merkte jedoch an, dass keine nennenswerten Beträge auf dem Spiel standen. Mindestens ein weiterer Betreiber beschrieb in Antworten auf die BTCPay-Warnung geschlossene Kanäle und geleerte Guthaben. Weder Herbert noch hodlonaut nannten genaue Beträge, und es wurde keine Gesamtzahl der betroffenen Nodes oder der insgesamt verlorenen Bitcoin veröffentlicht.
Entdeckung und Art der Sicherheitslücke
Dieser Fehler wurde nicht durch automatisiertes Scannen entdeckt – er trat erst zutage, nachdem jemand ausgeraubt worden war. Dieses Detail ist wichtig, weil es eine Lücke zwischen der erwarteten Funktionsweise der Bitcoin-Sicherheitstools und der tatsächlichen Entdeckung dieses speziellen Bugs offenlegt.
Entdeckung durch Entwickler vs. KI-Audits
Dorier schrieb die Aufklärung des Vorfalls Craig Raw zu, dem Entwickler hinter Sparrow Wallet, der nach dem Verlust eigener Gelder zusammenfügte, was geschah. „Wir hatten enormes Glück, dass ein Entwickler betroffen war, der die Logs analysieren konnte, um zu verstehen, was vor sich ging“, schrieb Dorier. „Irgendwie wurde dies nicht durch KI-Scans gefunden, sondern dadurch, dass er Geld verlor.“ Das Eingeständnis ist bemerkenswert, da das Bitcoin Red Team – eine Freiwilligengruppe, der BTCPay für die Offenlegung dankte – in der Woche zuvor KI-gestützte Audits im gesamten Open-Source-Stack von Bitcoin durchgeführt hatte. Dorier bestätigte, dass die Scans der Gruppe genau diesen Bug verfehlten. „Der KI-Bericht, den wir vom Red Team erhielten, enthielt diesen nicht“, sagte er. „Aber dieser Bug war wirklich heimtückisch, es überrascht mich nicht, dass ein einfacher Scan ihn nicht gefunden hat oder ihn als geringes Risiko einstufte.“
Klarstellung zu Unterschieden zwischen den Bugs
BTCPay hat nicht im Detail offengelegt, welche Schwachstelle die Angreifer ausnutzten, aber Dorier stellte ausdrücklich klar, dass es sich nicht um die bereits im Changelog des Projekts aufgeführte Umgehung der Zwei-Faktor-Authentifizierung handelt. Nachdem ein Nutzer eine KI-generierte Erklärung gepostet hatte, die den Angriff auf diesen offengelegten Bug zurückführte, stellte Dorier richtig: „Dieser Bug wurde vom Red Team gefunden, er ist nicht die kritische Sicherheitslücke, um die es hier geht.“ Die offengelegte 2FA-Umgehung betraf Greenfield, die API von BTCPay, und wurde am 4. August behoben – sie ermöglichte es, auf Konten zuzugreifen, die durch eine Authenticator-App geschützt waren, allein mit E-Mail und Passwort, obwohl der Browser-Login-Bildschirm die 2FA durchgehend korrekt erzwang. Eine vollständige technische Analyse der aktiv ausgenutzten Sicherheitslücke steht noch aus. Kernmitarbeiter Uncle Rockstar sagte, das Team „arbeitet mit dem Bitcoin Red Team zusammen, um die Details der Sicherheitslücke vollständig aufzuarbeiten und wird in Kürze mit einem detaillierten technischen Beitrag nachlegen“.
Betriebliche Herausforderungen und Abhilfemaßnahmen
Das Patchen der Software ist nur die halbe Arbeit – und genau diese geteilte Verantwortung legt in diesem Vorfall eine strukturelle Schwäche in der Absicherung selbst gehosteter Bitcoin-Infrastruktur offen.
Patch-Verantwortung bei selbst gehosteter Software
Da BTCPay selbst gehostet wird, gibt es keinen zentralen Betreiber, der einen Fix auf allen Installationen gleichzeitig ausrollen kann. Jeder Händler, jede Börse und jedes Wallet, das die Software ausführt, muss das Update auf der eigenen Maschine einspielen – und in diesem Fall waren die Diebstähle bereits im Gange, bevor die meisten Nutzer die Warnung überhaupt sahen. Dies ist ein grundlegender Trade-off selbst gehosteter Infrastruktur: Sie beseitigt einen Single Point of Failure für Zensur oder Abschaltung, bedeutet aber auch, dass ein kritischer Patch nur diejenigen Betreiber schützt, die schnell genug handeln, um ihn zu installieren.
Erneuerung von Zugangsdaten und anhaltende Sicherheitsrisiken
Ein Software-Update schließt nicht automatisch die Tür hinter einem Angreifer, der bereits eingedrungen ist. BTCPay hat die Nutzer aufgefordert, ein vollständiges Update der Macaroons und der Datei macaroons.db – der Anmeldedateien, die den Zugriff auf einen LND-Lightning-Node ermöglichen – durchzuführen sowie die Authentifizierungs-Strings für andere Lightning-Backends zu erneuern. Jeder, der ein On-Chain-Hot-Wallet innerhalb von BTCPay generiert hatte, wurde angewiesen, diese Gelder zu bewegen und das Wallet von Grund auf neu zu erstellen. Kaloudis, ein Vertreter der LND-basierten ZEUS-Wallet, brachte das Risiko klar auf den Punkt: „Gehen Sie nicht davon aus, dass Sie nach dem Upgrade sicher sind.“ Gestohlene Macaroons überstehen ein Software-Update, was bedeutet, dass ein Angreifer, der die Zugangsdaten vor dem Patch kopiert hat, den Node so lange weiter erreichen kann, bis diese Dateien zerstört und neu ausgestellt werden – was mit den Berichten der Opfer übereinstimmt: zwangsweise geschlossene Kanäle und geleerte Guthaben, statt eines zweiten Einbruchs in den Server selbst.
Kontext jüngster Sicherheitsausfälle in der Bitcoin-Infrastruktur
Diese Warnung kam nicht isoliert. Sie traf neun Tage in eine Phase, die sich als eine der schwierigsten Zeiten für die Sicherheit der Bitcoin-Infrastruktur seit Langem abzeichnet, und dieses Timing wirft die größere Frage auf, ob die Tools zur Erkennung solcher Bugs mit der Geschwindigkeit der ausgelieferten Software Schritt halten.
Parallele Vorfälle bei Bitcoin-Hardware und -Diensten
Ein Coldcard-Firmware-Bug aus dem Jahr 2021, der die Seed-Generierung über einen schwachen Software-Zufallszahlengenerator leitete, hat seit dem 30. Juli rund 114 Mio. US-Dollar in BTC abgezogen und mehr als 5.200 Adressen getroffen, wobei einige Opfer vom Verlust ihrer Ersparnisse berichteten. Am 3. August stellte dann die Swap-Bridge Boltz ihren Dienst auf unbestimmte Zeit ein und erklärte, Angreifer würden „jetzt schneller iterieren, als ein Team unserer Größe Bugs finden und patchen kann“. Die BTCPay-Server-Sicherheitslücke ist der dritte bedeutende Sicherheitsausfall in der Bitcoin-nahen Infrastruktur innerhalb von weniger als zwei Wochen.
Grenzen des Bitcoin-Red-Team-Audits
Das Bitcoin Red Team selbst entstand als direkte Reaktion auf den Coldcard-Vorfall, und seine frühen Ergebnisse sind beträchtlich: Calle, der bei der Leitung der Gruppe hilft, sagte, 16 Forscher hätten in nur 27,5 Stunden 4.962 Findings über 390 Projekte eingereicht, darunter 85 kritische und 635 schwerwiegende Probleme. Dennoch verfehlten die KI-gestützten Scans der Gruppe genau den Bug, der nun gegen BTCPay-Nutzer ausgenutzt wird – eine Lücke, die Dorier direkt anerkannte. Dieses Versäumnis unterstreicht eine breitere Herausforderung für die Branche: Automatisierte Sicherheitstools können große Mengen an Problemen aufdecken, aber heimtückische Logikfehler erfordern möglicherweise weiterhin einen Menschen – manchmal jemanden, der bereits Geld verloren hat –, um das zu erkennen, was ein Scan übersieht.
Bitcoin selbst reagierte auf all dies überhaupt nicht. Der Vermögenswert wurde am Freitagnachmittag laut CoinGecko bei etwa 64.800 US-Dollar gehandelt, ein Plus von 0,7 % innerhalb von 24 Stunden und 2,6 % auf Wochensicht – eine Erinnerung daran, dass Sicherheitsausfälle auf Infrastrukturebene im Bitcoin-Ökosystem nicht zwangsläufig den Preis des zugrunde liegenden Assets bewegen, selbst wenn die Verluste real und ungelöst sind.
FAQ
Was war das Hauptproblem mit BTCPay Server am 7. August 2026?
Eine kritische Sicherheitslücke wurde aktiv ausgenutzt, wodurch Angreifer die Lightning-Nodes der Nutzer leeren konnten. BTCPay veröffentlichte daraufhin einen dringenden Patch und forderte Betreiber auf, sofort zu aktualisieren oder ihre Server herunterzufahren.
Wer waren einige der konkreten Opfer der BTCPay-Server-Sicherheitslücke?
Zu den prominenten Opfern gehörten der Hardware-Wallet-Hersteller Foundation, dessen mit Passport verknüpfter Zahlungs-Node über Nacht geleert wurde, und das Bitcoin-Zine Citadel21, dessen Lightning-Node geleert und dessen Kanäle zwangsweise geschlossen wurden.
Ist die ausgenutzte Sicherheitslücke dieselbe wie die zuvor offengelegte Umgehung der Zwei-Faktor-Authentifizierung?
Nein. BTCPay-Gründer Nicolas Dorier stellte klar, dass der aktiv ausgenutzte Bug sich von der bereits im Changelog des Projekts offengelegten und am 4. August behobenen Umgehung der Zwei-Faktor-Authentifizierung unterscheidet und nicht mit ihr in Zusammenhang steht.
Was sollten BTCPay-Server-Nutzer nach dem Einspielen des Patches tun?
Nutzer müssen Macaroons und Anmeldedateien erneuern, da gestohlene Zugangsdaten ein Software-Update überstehen und Angreifern auch nach dem Patch weiterhin unbefugten Zugriff auf Lightning-Nodes ermöglichen können.
{„@context“:“https://schema.org“,“@type“:“FAQPage“,“mainEntity“:[{„@type“:“Question“,“name“:“Was war das Hauptproblem mit BTCPay Server am 7. August 2026?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Eine kritische Sicherheitslücke wurde aktiv ausgenutzt, wodurch Angreifer die Lightning-Nodes der Nutzer leeren konnten. BTCPay veröffentlichte daraufhin einen dringenden Patch und forderte Betreiber auf, sofort zu aktualisieren oder ihre Server herunterzufahren.“}},{„@type“:“Question“,“name“:“Wer waren einige der konkreten Opfer der BTCPay-Server-Sicherheitslücke?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Zu den prominenten Opfern gehörten der Hardware-Wallet-Hersteller Foundation, dessen mit Passport verknüpfter Zahlungs-Node über Nacht geleert wurde, und das Bitcoin-Zine Citadel21, dessen Lightning-Node geleert und dessen Kanäle zwangsweise geschlossen wurden.“}},{„@type“:“Question“,“name“:“Ist die ausgenutzte Sicherheitslücke dieselbe wie die zuvor offengelegte Umgehung der Zwei-Faktor-Authentifizierung?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nein. BTCPay-Gründer Nicolas Dorier stellte klar, dass der aktiv ausgenutzte Bug sich von der bereits im Changelog des Projekts offengelegten und am 4. August behobenen Umgehung der Zwei-Faktor-Authentifizierung unterscheidet und nicht mit ihr in Zusammenhang steht.“}},{„@type“:“Question“,“name“:“Was sollten BTCPay-Server-Nutzer nach dem Einspielen des Patches tun?“,“acceptedAnswer“:{„@type“:“Answer“,“text“:“Nutzer müssen Macaroons und Anmeldedateien erneuern, da gestohlene Zugangsdaten ein Software-Update überstehen und Angreifern auch nach dem Patch weiterhin unbefugten Zugriff auf Lightning-Nodes ermöglichen können.“}}]}
Artikel mit Unterstützung künstlicher Intelligenz erstellt und von der Redaktion überprüft.
