BTCPay Server hat Händler und Betreiber selbst gehosteter Zahlungssysteme nach Berichten darüber gewarnt, dass Angreifer Bitcoin aus verbundenen Hot Wallets abgezogen haben, und sie aufgefordert, ihre Server vom Netz zu nehmen.
Die Notfallmitteilung, die am 1. November 2026 gegen 22:25 UTC über das offizielle Konto des Projekts veröffentlicht wurde, wies Betreiber an, ihre BTCPay-Server-Instanzen herunterzufahren, während Entwickler die gemeldeten Sicherheitsvorfälle untersuchten.
Der Vorfall gibt Anlass zur Sorge für Händler, die selbst gehostete Bitcoin-Zahlungsinfrastrukturen nutzen, um herkömmliche Zahlungsintermediäre zu umgehen. Er verdeutlicht auch eine Sicherheitsherausforderung für Open-Source-Software: Eine Sicherheitslücke wird nur bei Installationen behoben, die das Update tatsächlich erhalten und anwenden.
Zum Zeitpunkt der ersten Meldungen hatten die Entwickler noch nicht bestätigt, wie viel Bitcoin gestohlen wurde, wie viele Händler betroffen waren oder wie die Angreifer sich zunächst Zugang verschafften.
Entwickler fordern Betreiber auf, BTCPay-Server offline zu nehmen
In der Notfallmeldung des Projekts hieß es, dass Hot Wallets, die mit BTCPay-Server-Installationen verbunden waren, von unbefugten Angreifern leergeräumt würden.
Betreiber wurden angewiesen, ihre Instanzen mit dem Befehl ./btcpay-down.sh anzuhalten, bis die Ermittler das Ausmaß und die Ursache des Vorfalls feststellen konnten.
Der Kernmitwirkende Uncle Rockstar Developer bekräftigte die Warnung, bezeichnete die Lage als dringend und forderte Betreiber mit Hot Wallets auf, ihre Server herunterzufahren.
BTCPay Server ist eine quelloffene Zahlungssoftware, mit der Händler Bitcoin direkt akzeptieren können, ohne auf einen herkömmlichen Zahlungsdienstleister angewiesen zu sein. Unternehmen können die Software selbst hosten und die Kontrolle über ihre Zahlungsinfrastruktur und Wallet-Verwaltung behalten.
Dieses Modell bietet mehr betriebliche Unabhängigkeit, überträgt dem Betreiber jedoch auch die Verantwortung für Serverwartung, Softwareaktualisierungen und Wallet-Sicherheit.
Nicolas Dorier verweist auf ältere Softwareversionen
Der Gründer von BTCPay Server, Nicolas Dorier, veröffentlichte später vorläufige Erkenntnisse, die die Ermittlungen auf ältere Installationen eingrenzten.
Dorier zufolge liefen die betroffenen Installationen mit Versionen, die vor 2.4.2 veröffentlicht wurden. Berichten zufolge erlangten Angreifer Administratorzugriff; forensische Spuren deuteten auf Schwachstellen hin, die in diesen älteren Versionen vorhanden waren.
Dorier wies außerdem darauf hin, dass öffentliche und Demonstrationsserver mit Version 2.4.7 nicht angegriffen worden seien.
Diese Unterscheidung ist wichtig, denn sie deutet nicht darauf hin, dass die neueste Version die mutmaßliche Ursache der gemeldeten Kompromittierungen war. Die Beobachtung sollte jedoch nicht als Beweis dafür verstanden werden, dass jede Installation mit Version 2.4.7 vor Angriffen sicher ist.
Die Ermittler hatten noch keine vollständige technische Erklärung veröffentlicht. Daher blieben der genaue Zugangsweg und der Zusammenhang zwischen den gemeldeten Diebstählen und zuvor offengelegten Schwachstellen ungeklärt.
Frühere Schwachstelle im Lightning Network liefert zusätzlichen Kontext
Die Ermittlungen lenken die Aufmerksamkeit auch auf ein separates Sicherheitsproblem bei BTCPay Server, das im August offengelegt wurde.
Diese Schwachstelle ermöglichte nicht authentifizierten Angreifern, Anmeldedaten in Form von Macaroons für den Lightning Network Daemon (LND) zu erlangen. Diese Zugangsdaten fungieren als Autorisierungstoken, die Zugriff auf bestimmte Lightning-Network-Operationen gewähren.
Die Entwickler behoben das Problem in Version 2.4.2. Damals erklärten sie, dass die On-Chain-Wallets von BTCPay Server durch diese spezielle Schwachstelle nicht gefährdet waren.
Es wurde nicht geklärt, ob die Meldungen über Wallet-Diebstähle im November mit derselben Schwachstelle, einer anderen Schwachstelle in älteren Versionen oder einer Kombination von Sicherheitsproblemen zusammenhängen.
Diese Unterscheidung ist wichtig. Eine zuvor behobene Schwachstelle könnte die Gefährdung veralteter Installationen erklären, kann ohne einen veröffentlichten forensischen Bericht jedoch nicht als bestätigte Ursache gelten.
Version 2.4.7 behob 85 Sicherheitsbefunde wenige Tage vor dem Vorfall
Der Zeitpunkt der Notfallwarnung hat zusätzliche Aufmerksamkeit auf sich gezogen, da BTCPay Server erst drei Tage zuvor ein umfangreiches Sicherheitsupdate veröffentlicht hatte.
Am 29. Oktober 2026 veröffentlichte das Projekt Version 2.4.7, nachdem im Rahmen von Anthropics quelloffener Sicherheits-Scan-Initiative Schwachstellen gemeldet worden waren.
Das Update behob 85 gemeldete Befunde, aufgeschlüsselt wie folgt:
1 kritische
13 schwerwiegende
52 mittelschwere
19 geringfügige
Die Befunde traten inmitten einer breiteren Ausweitung der KI-gestützten Schwachstellenforschung zutage. 2026 demonstrierten von Anthropic, OpenAI und Google entwickelte Systeme zunehmend fortgeschrittene Fähigkeiten, potenzielle Softwareschwachstellen zu identifizieren.
Anthropics Scan-Initiative meldete innerhalb von sechs Monaten mehr als 29.000 potenzielle Schwachstellen, von denen jedoch nur ein Teil manuell überprüft wurde.
Der Vorfall bei BTCPay Server verdeutlicht den Unterschied zwischen dem Auffinden von Schwachstellen und der Absicherung von Software, die bereits in einer Produktionsumgebung läuft. Ein Projekt kann zwar Fehlerbehebungen veröffentlichen, doch unabhängig betriebene Server aktualisieren sich nicht automatisch.
Eine Installation, auf der weiterhin eine ältere Version läuft, kann Nutzer Schwachstellen aussetzen, die Entwickler bereits behoben haben.
Händler nehmen Zahlungsinfrastruktur offline
Die Warnung veranlasste Unternehmen, darunter Coincards, ihre BTCPay-Server-Installationen offline zu nehmen.
Für Händler bringt diese Entscheidung einen unmittelbaren Zielkonflikt im Betrieb mit sich. Ein verfügbarer Zahlungsserver ermöglicht normale Transaktionen, doch ein möglicherweise kompromittiertes Hot Wallet weiterhin verbunden zu lassen, könnte weitere unbefugte Überweisungen ermöglichen und Gelder gefährden.
Dorier betonte erneut, wie wichtig es ist, Guthaben in Hot Wallets auf Beträge zu begrenzen, deren Verlust sich die Betreiber leisten können.
Hot Wallets sind mit Onlinesystemen verbunden und werden üblicherweise für alltägliche Transaktionen verwendet. Ihre Erreichbarkeit macht sie für die Zahlungsabwicklung nützlich, bedeutet aber auch, dass sie sorgfältig abgesichert und die darin gehaltenen Gelder begrenzt werden müssen.
Der gemeldete Vorfall hat daher die Aufmerksamkeit erneut auf die Risiken von Wallets, Serverzugriffsberechtigungen, Aktualisierungspraktiken und die Trennung von Betriebsmitteln und größeren Rücklagen gelenkt.
Die umfassendere Sicherheitsherausforderung bei selbst gehosteten Kryptozahlungen
Das Modell von BTCPay Server gibt Händlern direkte Kontrolle über Bitcoin-Zahlungen, doch Selbsthosting macht kontinuierliches Sicherheitsmanagement nicht überflüssig.
Betreiber müssen Softwareversionen überwachen, Patches einspielen, Administratorzugangsdaten schützen und die Risiken verbundener Wallets bewerten. Verzögerte Aktualisierungen können Systeme weiterhin anfällig machen, selbst nachdem Entwickler eine Fehlerbehebung bereitgestellt haben.
KI-gestützte Sicherheitsforschung könnte die Geschwindigkeit erhöhen, mit der Schwachstellen entdeckt und gemeldet werden. Das kann die Softwaresicherheit langfristig verbessern, setzt aber Maintainer und Betreiber zugleich unter Druck, Befunde zu prüfen, Fehlerbehebungen zu veröffentlichen und Aktualisierungen schnell einzuspielen.
Diese Herausforderung ist besonders relevant für quelloffene Infrastruktur, die von Unternehmen genutzt wird, die möglicherweise keine eigenen Sicherheitsteams haben. Die Verantwortung für das Einspielen eines Patches kann bei einzelnen Händlern oder Dienstleistern liegen.
Ermittlungen dauern an, während Verluste unbestätigt bleiben
Die verfügbaren Aktualisierungen enthielten weder eine bestätigte Schätzung der gestohlenen Bitcoin-Menge noch eine verifizierte Zahl betroffener Händler oder eine vollständige Darstellung der Angriffsmethode.
Die Entwickler bereiteten eine ausführlichere Erklärung vor, doch in den bereitgestellten Aktualisierungen war weder ein endgültiger, speziell für den Vorfall bestimmter Patch noch eine Entwarnung angekündigt worden.
Bis die Ermittler weitere Einzelheiten veröffentlichen, bleibt der Zusammenhang zwischen den gemeldeten Diebstählen, älteren Softwareversionen und zuvor offengelegten Schwachstellen vorläufig.
Zuerst auf CryptosNewss.com veröffentlicht