BTCPay Server hat vorübergehend öffentliche Remote-Verbindungen zu Lightning-Network-Knoten blockiert, auf denen der Lightning Network Daemon (LND) läuft, nachdem Angreifer eine kritische Schwachstelle ausgenutzt hatten, um Zugangsdaten zu erlangen und Gelder zu verschieben. Das Projekt erklärt, dass Lightning-Zahlungen weiterhin ausgeführt werden können, während daran gearbeitet wird, den Remote-Zugriff wieder sicher zu machen.

In einem sicherheitsorientierten Update gab BTCPay Server bekannt, dass Version 2.4.2 die LND-Version 0.21.1 installiert und die „Macaroon“-Zertifikatsdateien, die zur Steuerung von LND in Standardbereitstellungen verwendet werden, automatisch neu generiert. Betreiber werden außerdem aufgefordert, ihre Knoten auf Anzeichen einer Kompromittierung zu prüfen, einschließlich nicht autorisierter Zahlungen, unerwarteter Kanal-Schließungen, verdächtiger Peers sowie Abweichungen zwischen den aufgezeichneten Kontoständen und dem, was tatsächlich onchain oder in Lightning vorhanden ist.

Wichtige Erkenntnisse

• BTCPay Server 2.4.2 beschränkt öffentliche Remote-Verbindungen zu LND in Docker-Deployments und verhindert, dass externe Wallets sich über BTCPay-Domains oder Tor-Onion-Adressen verbinden.

• Das Update installiert automatisch LND 0.21.1 und regeneriert die LND-Macaroon-Zugangsdaten bei Standard-Installationen von BTCPay.

• Betreiber sollten auf nicht autorisierte Zahlungen, unerwartete Kanal-Schließungen, unbekannte Gegenstellen und Unstimmigkeiten im Kontostand achten – als Hinweise auf Diebstahl.

• Wenn ein Betreiber LND über einen eigenen Reverse-Proxy, einen Tor-Dienst, Portweiterleitung oder andere Routen außerhalb von BTCPay exponiert, müssen die Zugangsdaten separat rotiert werden.

Warum BTCPay den Remote-Zugriff auf LND blockiert

Die Warnung von BTCPay Server bezieht sich auf einen konkreten Ausfallmodus: eine kritische Schwachstelle, die BTCPay zufolge es einem nicht authentifizierten, entfernten Angreifer ermöglichte, die Macaroon-Zugangsdaten-Dateien zu erlangen, die die Kontrolle über einen LND-Knoten autorisieren.

Diese Zugangsdaten sind im Grunde das Schlüsselmaterial, das es einer Partei ermöglicht, den Knoten zu verwalten oder im Namen des Knotens zu handeln. BTCPay warnte, dass offengelegte Zugangsdaten Angreifern ermöglichen könnten, die LND-Instanz zu übernehmen und Gelder zu verschieben.

Um die Angriffsfläche zu reduzieren, während die Behebung ausgerollt wird, schränkte BTCPay vorübergehend öffentliche Remote-Verbindungen zu Lightning-Knoten ein, die LND-Software über von BTCPay verwaltete Endpunkte betreiben. In seiner Stellungnahme hob BTCPay hervor, dass die Änderung externe Wallets – einschließlich Zeus – daran hindert, sich über eine BTCPay-Server-Domain oder eine Tor-Onion-Adresse in Docker-Deployments zu verbinden.

Wichtig für den täglichen Betrieb sagte BTCPay, dass Lightning-Zahlungen weiterhin möglich sind. Die Einschränkung wird als Übergangslösung dargestellt, bis das Projekt der Ansicht ist, dass es sicher ist, die vorherige Remote-Zugriffs-Funktionalität wiederherzustellen.

Was sich mit dem Update 2.4.2 für Betreiber ändert

Die Lösung von BTCPay wird über Version 2.4.2 bereitgestellt. Das Projekt sagt, dass dieses Release LND-Version 0.21.1 installiert und bei Standard-Installationen von BTCPay automatisch Macaroon-Zugangsdaten neu generiert.

Dieses automatische Rotieren ist darauf ausgelegt, die im Sicherheitshinweis identifizierte Kerngefahr zu adressieren: Angreifer, die Zugangsdaten erlangt hatten, könnten sie im Nachhinein weiterverwenden, sofern die zugrunde liegenden Autorisierungsartefakte nicht ersetzt werden. Indem BTCPay sowohl die LND-Version als auch die für die Kontrolle verwendeten Zugangsdaten aktualisiert, zwingt BTCPay effektiv den Autorisierungsstatus für typische Deployments zurück.

Zusammen mit den Softwareänderungen stellte BTCPay eine gezielte Checkliste für Betreiber bereit, um zu prüfen, dass kein Kompromiss stattgefunden hat. Das Projekt empfahl zu kontrollieren:

• Nicht autorisierte Zahlungen, die darauf hindeuten würden, dass jemand den Knoten außerhalb der beabsichtigten Kontrolle des Betreibers verwaltet hat.

• Unerwartete Kanal-Schließungen, die auf eine feindliche Verwaltung von Kanälen oder erzwungenes Routing-Verhalten hindeuten können.

• Unbekannte Gegenstellen, die darauf hindeuten könnten, dass ein Angreifer Verbindungen zum Knoten hergestellt hat.

• Unstimmigkeiten zwischen dem, was Betreiber erwarten, und dem, was in ihren Onchain- oder Lightning-Guthaben erscheint.

Wichtig ist auch, dass BTCPay eine Deployments-Realität adressierte: Nicht jeder Betreiber stellt LND ausschließlich über das eigene Routing von BTCPay bereit. Für diejenigen, die einen eigenen Reverse-Proxy, einen Tor-Dienst, einen weitergeleiteten Port oder einen alternativen Zugriffsweg betreiben, sagte BTCPay, dass das Installieren des Updates keine unabhängig verwalteten Zugriffswege schließt. In diesen Fällen müssen Betreiber die Zugangsdaten separat rotieren, wenn es eine LND-Exponierung außerhalb der von BTCPay kontrollierten Endpunkte gibt.

Öffentliche Berichte über Verluste, ohne offengelegte Beträge

Nachdem die Schwachstelle und die Behebung Teil der öffentlichen Debatte geworden waren, meldeten mindestens zwei Betreiber Verluste, die mit dem Leerräumen ihrer Lightning-Knoten zusammenhingen, obwohl keiner den entnommenen Betrag offengelegt hat.

Der CEO von Foundation, Zach Herbert, erklärte, dass der Lightning-Knoten des Hardware-Wallet-Unternehmens über Nacht geleert worden sei. Später stellte er klar, dass sein Hot Wallet nicht betroffen war, während seine Lightning-Kanäle geschlossen und die Gelder abgezogen wurden – was darauf hindeutet, dass der Kompromiss auf die Kontrolle der Lightning-Kanäle beschränkt war, nicht auf die breitere Wallet-Infrastruktur.

Separat berichtete die Bitcoin-Publikation Citadel21, dass ihr Lightning-Knoten geleert worden sei. Wie Herberts Kommentare lieferte die Veröffentlichung keine Zahlen dazu, wie viel verloren ging.

Obwohl die Berichte nicht die Größenordnung des Vorfalls über alle BTCPay-Nutzer hinweg festlegen, verdeutlichen sie die praktische Bedeutung der Warnung: Eine Offenlegung von Zugangsdaten kann sich in eine konkrete, umsetzbare Kontrolle über Lightning-Gelder übersetzen, und die Behebung muss schnell und gründlich erfolgen.

Sicherheitsvorfälle zielen weiterhin auf Bitcoin-Infrastruktur im gesamten Netzwerk ab

Der Vorfall bei BTCPay ist der neueste in einer Reihe von Sicherheitsproblemen, die beliebte Bitcoin-Produkte betreffen. Eine frühere Berichterstattung von Cointelegraph hob einen Fehler bei Coldcard-Hardware-Wallets hervor, der mit mehr als 100 Millionen US-Dollar an bestätigten Verlusten in Verbindung gebracht wurde. Das unterstreicht, dass die Ziele bislang eher Software- und Infrastrukturkomponenten waren, die um Bitcoin herum aufgebaut sind – nicht das Bitcoin-Protokoll selbst.

Dieses Muster ist wichtig, weil es das Risiko von „Bitcoin als Netzwerk“ weg und hin zu den Systemen verlagert, mit denen Menschen mit ihm interagieren: Wallets, Knotenbetreiber, Zahlungsserver und die Brückensoftware zwischen Nutzern und Blockchain-Operationen. Praktisch bedeutet das: Die wertvollsten Schutzmaßnahmen sind oft operativ – zeitnahes Einspielen von Patches, korrektes Rotieren der Zugangsdaten, sorgfältiges Management der Exponierung und kontinuierliches Monitoring auf Anomalien.

Die vorübergehende Beschränkung des Remote-Zugriffs durch BTCPay lässt sich als ein weiterer Schritt in diesem operativen Verteidigungsmodell lesen: Reduzieren Sie eingehende Zugriffswege, die einen Missbrauch von Zugangsdaten ermöglichen könnten, auch während Updates ausgerollt werden und Betreiber ihre Setups härten.

Für den Moment ist das Wichtigste für BTCPay-Betreiber, Version 2.4.2 anzuwenden und ihre Expositionspfade zu verifizieren. Danach sollten sie ihre Knoten auf die spezifischen Kompromittierungsindikatoren prüfen, die BTCPay aufgelistet hat. Leser sollten außerdem beobachten, ob BTCPay die Remote-Zugriffs-Funktionen wiederherstellt, sobald das Projekt bestimmt hat, dass das verbleibende Risiko für die relevanten Deployment-Typen vollständig gemindert ist.

Dieser Artikel wurde ursprünglich unter BTCPay schränkt Remote-Lightning-Zugriff nach Attacken ein, nachdem Angreifer Gelder stehlen, veröffentlicht – Ihre vertrauenswürdige Quelle für Krypto-News, Bitcoin-News und Blockchain-Updates.