Die Entwickler des Zahlungsdienstes BTCPay Server warnten vor unautorisierten Abhebungen aus den Hot Wallets der Nutzer. Das Team forderte die Betreiber auf, die Server vorübergehend abzuschalten, bis die Untersuchung abgeschlossen ist.
Die erste Warnung wurde am 1. November um 22:25 UTC veröffentlicht. Zum Abschalten empfahlen die Entwickler, das Skript ./btcpay-down.sh zu verwenden.
BTCPay Server ist ein kostenloses Zahlungssystem mit offenem Quellcode. Es ermöglicht Online-Shops und anderen Organisationen, die führende Kryptowährung selbst und ohne Vermittler anzunehmen.
Nutzer installieren die Software auf eigenen oder gemieteten Servern. Das Projekt verwaltet diese Infrastruktur nicht zentral und kann daher nicht alle Installationen selbst abschalten.
BTCPay unterstützt Hot Wallets: Die Seed-Phrase wird auf einem mit dem Internet verbundenen Server gespeichert und zum automatischen Signieren ausgehender Transaktionen verwendet. Das vereinfacht Zahlungen, birgt aber Risiken, falls ein Angreifer Zugriff auf den Server erhält.
Entwickler nannten die betroffenen Versionen
Projektgründer Nicolas Dorier teilte mit, dass nach vorläufigen Erkenntnissen Server mit Softwareversionen vor 2.4.2 angegriffen wurden.
Ihm zufolge meldete sich der Angreifer mit Administratorrechten am System an, die öffentlichen Server des Projekts mit Version 2.4.7 waren jedoch nicht betroffen. Die Entwickler haben bislang nicht herausgefunden, wie genau der Hacker Zugriff erhielt.
Später bestätigte das BTCPay-Team diese Angaben: Die entdeckte Angriffsmethode betrifft Version 2.4.1 und ältere Versionen. Die neueste davon wurde am 23. Juli veröffentlicht.
Die Entwickler haben jedoch keine verlässlichen Meldungen über Diebstähle von Servern mit der aktuellen Version 2.4.7 erhalten.
Das Team rief erneut dazu auf, BTCPay zeitnah zu aktualisieren. Betroffene Nutzer wurden gebeten, Informationen zum Vorfall und Serverprotokolle an security@btcpayserver.org zu senden.
Server, die über Hosting-Anbieter betrieben werden, konnten automatisch abgeschaltet werden, damit Angreifer die Schwachstelle in älteren Versionen nicht ausnutzen konnten. Die Entwickler dankten LunaNode und anderen Anbietern für ihre schnelle Reaktion auf die erste Warnung.
Zum Zeitpunkt der Veröffentlichung waren die Zahl der betroffenen Installationen, die Gesamthöhe des Schadens und die Identität der Angreifer unbekannt.
Ein kürzliches Update behob 85 Sicherheitsprobleme
Am 29. Oktober veröffentlichten die BTCPay-Entwickler Version 2.4.7. Sie behob 85 Probleme, die mithilfe des Anthropic OSS Scanner entdeckt worden waren.
Laut dem Bericht der Entwickler wurde eines davon als kritisch, 13 als hoch, 52 als mittel und 19 als niedrig eingestuft.
Die Änderungen betrafen Autorisierungsmechanismen, die Auszahlungsverwaltung, die Rechnungsverarbeitung, Programmierschnittstellen und weitere Komponenten des Zahlungsservers.
Fachleute empfahlen dringend, das Update zu installieren, insbesondere Betreibern von Servern, die mehrere Shops bedienen.
Ein Zusammenhang zwischen den aktuellen Diebstählen und einem der behobenen Probleme oder zuvor entdeckten Schwachstellen wurde bislang nicht bestätigt.
Zur Erinnerung: Im August leerten Hacker die Lightning-Nodes des Hardware-Wallet-Herstellers Foundation und des Bitcoin-Magazins Citadel21 über eine kritische Schwachstelle in BTCPay Server. Die Angreifer erlangten Autorisierungsdateien von LND, einer Software für die Nutzung des Lightning Network. Damit konnten sie die Nodes steuern und Gelder abziehen.
Die Schwachstelle wurde in Version 2.4.2 behoben. Die Entwickler forderten LND-Nutzer damals auf, dringend ein Update durchzuführen oder ihre Server abzuschalten.$BTC $ETH $XRP