Angreifer haben auf veraltete BTCPay Server-Instanzen als Admin zugegriffen und deren Hot Wallets geleert. Hinweise deuten auf Schwachstellen hin, die bereits vor einem August-Update bestanden.
Der Schaden betrifft Betreiber, die keine Updates durchgeführt haben, und das Team hat die gesamte Verlustsumme noch nicht bekannt gegeben. BTCPay Server ist ein kostenloser, quelloffener Zahlungsabwickler, den Händler selbst hosten können, um Bitcoin zu akzeptieren. In einer Hot Wallet-Konfiguration speichert der Server selbst die privaten Schlüssel. Dadurch kann die Software Gelder verschicken, ohne dass der Betreiber jede Transaktion einzeln unterzeichnen muss. Daher kann jeder mit Admin-Zugriff auf einen solchen Server dessen Coins bewegen.
Welche Versionen haben die Angreifer angegriffen?
Das BTCPay Server-Team hat am späten 1. November erstmals Alarm geschlagen. Es forderte alle Betreiber auf, ihre Instanz herunterzufahren, bis die Untersuchung abgeschlossen ist.
Eine folgende Mitteilung hat die betroffenen Versionen genauer eingegrenzt. Der Angriffsweg richtet sich gegen Version 2.4.1, die am 23. Juli 2026 veröffentlicht wurde, und alle älteren Versionen. Das Team gibt an, dass es keine glaubhaften Berichte über Angriffe auf die aktuelle Version 2.4.7 gibt.
Gründer Nicolas Dorier sagte, dass sich der Angreifer bei den betroffenen Servern als Admin eingeloggt hat. Allerdings ist noch unklar, auf welchem Weg das gelang. Bis jetzt hat die Untersuchung Hinweise auf Schwachstellen gefunden, die älter sind als Version 2.4.2.
Der Vorfall ist mindestens das zweite Mal innerhalb von drei Monaten, dass Angreifer Gelder aus BTCPay Server-Instanzen mit Versionen unter 2.4.2 gestohlen haben. Diese Version hat im August eine kritische Schwachstelle behoben, durch die Angreifer remote Lightning-Node-Zugangsdaten abgreifen und verbundene Wallets leeren konnten.
Diese Schwachstelle wurde bereits aktiv ausgenutzt.
Ist eine BTCPay Server Hot Wallet das Risiko wert?
Auch Hosting-Anbieter haben schnell reagiert. LunaNode und weitere könnten Instanzen von Kunden automatisch heruntergefahren haben, um Angriffe auf ältere Versionen zu verhindern, so das Team.
Dorier selbst nutzt Version 2.4.7 mit einer Hot Wallet. Dennoch warnt der Gründer davor, große Beträge auf einem Server zu halten.
Legen Sie nicht mehr in die Hot Wallet als Sie zu verlieren bereit sind. Wir können nicht garantieren, dass es nicht erneut passiert.
Nicolas Dorier, X
Das Ereignis passt zu einem Muster bei selbst gehosteter Bitcoin-Infrastruktur. Core Lightning hat kürzlich davor gewarnt, dass Angreifer ungepatchte Nodes ins Visier nehmen. In beiden Fällen existierte eine Lösung bereits vor dem Diebstahl, sodass der Betreiber, der eine BTCPay Server-Instanz installiert und nie aktualisiert hat, das schwächste Glied bleibt.
