BTCPay Server kündigt eine vorübergehende Einschränkung der öffentlichen Fernverbindungen zu Lightning-Network-Knoten an, die über das LND-Programm laufen. Dies geschieht, nachdem Angreifer eine kritische Schwachstelle ausgenutzt haben, um Anmeldedaten zu stehlen und die Kontrolle über die Gelder zu erlangen.
Wie das Projekt erläuterte, verhindert diese Maßnahme, dass externe Wallets wie Zeus sich über die BTCPay-Server-Domäne oder über die Tor-onion-Adresse in den von Docker bereitgestellten, unterstützten Bereitstellungen verbinden können. Gleichzeitig bestätigte BTCPay, dass Lightning-Zahlungen weiterhin funktionieren, und dass die Fernzugriffsoption später wieder verfügbar sein wird, wenn dies als sicher erachtet wird.
Was hat sich in der Praxis geändert?
Die wichtigste Änderung für Betreiber ist, dass der öffentliche Zugriff auf Knoten über BTCPay in diesem Ablauf vorübergehend nicht mehr verfügbar ist, was die Angriffsfläche nach dem Vorfall reduziert. Das bedeutet jedoch nicht, dass alle Zugriffswege automatisch vollständig gesperrt sind – insbesondere dann nicht, wenn der Betreiber selbst externe Verbindungskanäle aktiviert hat.
Das Update 2.4.2 fixt LND 0.21.1 und regeneriert die Macaroon-Zugangsdaten automatisch bei Standard-Installationen auf BTCPay. Laut Sicherheitsanweisungen ermöglichte die Schwachstelle einem nicht dokumentierten Angreifer den entfernten Zugriff auf die Macaroon-Dateien, die zur Steuerung von LND verwendet werden. Das könnte es dem Angreifer ermöglichen, den Knoten zu kontrollieren und dessen Gelder zu bewegen.
Was sollten Betreiber jetzt überprüfen?
BTCPay hat die Betreiber gebeten, Hinweise zu prüfen, die auf ungewöhnliche Aktivitäten hindeuten könnten, darunter:
• Unautorisierte Zahlungen.
• Unerwartete Schließungen von Kanälen.
• Unbekannte Peers im Netzwerk.
• Abweichungen zwischen internen Logs und den Guthaben on-chain oder innerhalb von Lightning.
Das Projekt betonte außerdem einen wichtigen Punkt: Wenn ein Betreiber LND über einen eigenen Reverse Proxy, einen separaten Tor-Dienst, einen umgeleiteten Port oder einen anderen Pfad außerhalb von BTCPay anbietet, dann sollte er die Zugangsdaten separat rotieren. Allein das Update schließt also nicht automatisch Zugriffswege, die der Betreiber selbst verwaltet.
Bestätigte Verluste von mehr als einer Seite
Bisher haben zumindest zwei Parteien öffentlich Verluste gemeldet. Der CEO von Foundation, Zach Herbert, sagte, dass die Lightning-Knoten des Unternehmens in der Nacht Geld abgezogen bekam. Später erklärte er dann, dass die Hot Wallet nicht betroffen war, während Lightning-Kanäle geschlossen und daraus Gelder abgezogen wurden.
Auch Citadel21 hatte berichtet, dass ihr Lightning-Knoten ebenfalls ausgeraubt wurde. Keine der beiden Seiten hat die Höhe der Verluste offengelegt.
Der Vorfall reiht sich in eine Serie von Sicherheitsvorfällen ein, die weit verbreitete Produkte im Bitcoin-Ökosystem betreffen, aber nicht das Bitcoin-Protokoll selbst, sondern die Software rund um das Netzwerk.
Für Betreiber von Knoten ist die praktische Botschaft eindeutig: schnell updaten, Zugriffspfade verifizieren, Logs und Guthaben prüfen und anschließend alle Konfigurationen neu bewerten, die LND ohne ausreichende Kontrollen für externe Verbindungen zugänglich machen.