BTCPay Server hat bestätigt, dass Angreifer eine kritische Schwachstelle ausnutzen konnten, um Gelder von Nutzern zu stehlen, die eine Version vor 2.4.2 nutzen. Die Betreiber werden dringend gebeten, sofort ein Update durchzuführen.
Der selbst gehostete Bitcoin-Zahlungsdienst hat die Version 2.4.2 veröffentlicht, um die Sicherheitslücke zu schließen. Diese Schwachstelle ermöglichte es einem nicht authentifizierten, entfernten Angreifer, auf .macaroon-Zugangsdaten für LND zuzugreifen. LND ist eine gängige Lightning-Netzwerk-Implementierung.
Was BTCPay-Server-Nutzer tun müssen
Mit den gestohlenen Zugangsdaten kann ein Angreifer die vollständige Kontrolle über einen LND-Knoten übernehmen. Er kann dann direkt Gelder von dem Knoten abziehen.
„Wir haben bestätigt, dass Angreifer diese Schwachstelle ausgenutzt haben. Nutzer wurden betroffen und Gelder wurden gestohlen. Technische Details veröffentlichen wir noch nicht, da Betreiber noch Zeit zum Aktualisieren benötigen“, teilte das Team mit.
Folgen Sie uns auf X, um die neuesten Nachrichten in Echtzeit zu erhalten.
Das Risiko betrifft ausschließlich Installationen mit LND. Andere Lightning-Setups und Nutzer ohne Lightning-Anbindung sind keiner Gefahr bezüglich ihrer Zugangsdaten ausgesetzt. Dennoch rät das Projekt auch diesen Nutzern zu einem Update. Die eigenen On-Chain- und Hot-Wallets von BTCPay Server sind nicht betroffen.
Betreiber, die LND verwenden, sollten über das Wartungs-Dashboard auf Version 2.4.2 und LND 0.21.1 aktualisieren. Das Update erzeugt die Macaroons automatisch neu. Wer nicht sofort aktualisieren kann, sollte den Server vom Netz nehmen.
Das Projekt empfiehlt LND-Nutzern zudem, die Aktivitäten auf dem Knoten zu überprüfen. Dazu gehören verdächtige Verbindungen fremder Peers, unerwartete Schließungen von Kanälen und nicht selbst ausgelöste Zahlungen.
Ein weiterer Rückschlag für Bitcoin-Selbstverwahrung
Die Offenlegung folgt auf einen weiteren massiven Sicherheitsvorfall. Galaxy Research hat am Freitag bestätigt, dass Coldcard-Nutzern bisher 1.719 Bitcoin (BTC) im Wert von etwa 111 Millionen USD gestohlen wurden. Das Unternehmen rechnet damit, dass die Verluste insgesamt 130 Millionen USD übersteigen werden, sobald alle Fälle vollständig überprüft sind.
Keiner der genannten Vorfälle betraf das Bitcoin-Protokoll selbst. Beide haben jedoch Schwachstellen in den zusätzlich entwickelten Tools offengelegt.
Abonnieren Sie unseren YouTube-Kanal, um Experteneinschätzungen von führenden Persönlichkeiten und Journalisten zu erhalten.
