Eine kritische Schwachstelle im Bitcoin-Zahlungsprozessor BTCPay Server ist am Freitagabend aktiv ausgenutzt worden und hat zum Diebstahl von Bitcoin aus Lightning Nodes geführt. Betroffen sind Installationen, die auf LND setzen – die verbreitetste Software zum Betrieb eines Lightning Nodes. Das Projekt bestätigte die laufenden Angriffe und forderte Betreiber auf, umgehend auf Version 2.4.2 zu aktualisieren oder ihre Server vorübergehend vom Netz zu nehmen. Wie viele Nutzer betroffen sind und wie viele BTC abgeflossen sind, ist bislang nicht beziffert.
Kern der Lücke sind sogenannte macaroon-Dateien. Diese Zugangsdaten funktionieren wie API-Schlüssel und erlauben es, Aktionen auf einem LND Node auszuführen. Angreifer konnten diese Dateien über einen unauthentifizierten Zugriff auslesen, die Kontrolle über den jeweiligen Node übernehmen und hinterlegte Guthaben abziehen. Besonders heikel: Die alten macaroons blieben auch nach früheren Software-Updates gültig. Betreiber, die pflichtbewusst aktualisiert hatten, waren weiterhin exponiert, solange sie die Zugangsdaten nicht manuell erneuerten. Neben dem Sprung auf 2.4.2 wurde deshalb auch ein Refresh der macaroons sowie ein Upgrade des Wallet-Backends NBXplorer auf Version 2.6.10 angewiesen.
Zu den ersten bestätigten Opfern zählt der Hardware-Wallet-Hersteller Foundation. Dessen CEO erklärte, der Lightning Node des Unternehmens sei über Nacht geleert und die Zahlungskanäle zwangsweise geschlossen worden; die On-Chain Hot Wallet blieb unberührt. Auch das Bitcoin-Magazin Citadel21 meldete einen geleerten Node, wobei sich dort nach eigenen Angaben nur geringe Beträge befanden. Standardmäßige On-Chain-Wallets von BTCPay sind laut Projekt nicht betroffen – gefährdet sind LND-Installationen sowie Bitcoin im On-Chain-Wallet eines kompromittierten LND Nodes.
Aufgedeckt wurde die Schwachstelle durch das Bitcoin Red Team, eine freiwillige Sicherheitsgruppe. Der eigentliche Anstoß kam allerdings durch einen Vorfall in der Praxis: Ein Entwickler verlor Guthaben und stieß bei der Analyse seiner Logs auf das Problem. Die Angreifer waren zum Zeitpunkt der öffentlichen Warnung bereits aktiv – die Diebstähle liefen also noch, während der Alarm ausgegeben wurde.
Es ist bereits der zweite Angriff auf Bitcoin-Infrastruktur binnen einer Woche. Zuvor hatte eine fehlerhafte Firmware bei Coldcard-Wallets zeitweise Wallet Seeds ohne den vorgesehenen hardwarebasierten Zufallszahlengenerator erzeugt, was Seed-Kombinationen leichter berechenbar machte. In beiden Fällen gilt: Nicht das Bitcoin-Netzwerk selbst wurde angegriffen, sondern die darauf aufbauende Infrastruktur.
Alex Merten hat Wirtschaftswissenschaften mit Fokus auf Geldpolitik und digitale Märkte studiert. Seit mehr als 5 Jahren analysiert er die Entwicklungen im Krypto- und Finanzsektor und beschäftigt sich besonders mit der Rolle von Bitcoin in einem globalen Marktumfeld. Neben makroökonomischen Einschätzungen liegt sein Fokus auf datenbasierten Kursprognosen, Marktanalysen und verständlich aufbereiteten Infografiken. Neben seiner Tätigkeit auf boersen-parkett.de veröffentlicht er auch Beiträge auf cryptonews.com und 99bitcoins.com. Bei seiner Arbeit legt er besonderen Wert auf Faktentreue, Relevanz und eine klare Einordnung des täglichen Marktgeschehens.
Boersen-Parkett bei Google als bevorzugte Nachrichtenquelle markieren und keine Finanz- und Krypto-News mehr verpassen. Wie funktioniert das?