BTCPay Server fordert Betreiber nach Berichten über Hot-Wallet-Abflüsse zur Abschaltung auf
BTCPay Server, die quelloffene Software für Bitcoin-Zahlungen, hat Betreiber nach Berichten über unautorisierte Abflüsse aus Hot Wallets aufgefordert, ihre Instanzen abzuschalten. Der Gründer des Projekts erklärt, betroffene Versionen scheinen älter als 2.4.2 zu sein, während das Projekt nun auf 2.4.1 und ältere Versionen verweist.
Verfasst von der KI-Redaktion von CoinArticle · auf Basis von 3 angegebenen Quellen. So arbeiten wir
Was BTCPay den Betreibern mitteilte
BTCPay Server, die quelloffene Software für Bitcoin-Zahlungen, hat Betreiber am Sonntag aufgefordert, ihre Instanzen abzuschalten, während das Projekt Berichte untersucht, wonach unautorisierte Angreifer mit diesen verbundene Hot Wallets leerräumten. In einem Beitrag auf X um 17:25 Uhr ET forderte das Projekt Nutzer, die eine Instanz betreiben, auf, sie mit ./btcpay-down.sh zu stoppen, bis die Untersuchung abgeschlossen ist. Sowohl Decrypt als auch CoinDesk berichteten über die Aufforderung.
Laut dem Projekt haben einige Hosting-Anbieter, darunter LunaNode, BTCPay-Instanzen automatisch abgeschaltet, um die Ausnutzung älterer Versionen zu begrenzen. Das Projekt hat nicht mitgeteilt, wie viele Server betroffen sind oder wie viele Bitcoin abgezogen wurden.
Betroffene Versionen und der Angriffsvektor
Der Umfang ist enger gefasst, als die erste Warnung nahelegte. Etwa zwei Stunden nach dem ersten Beitrag sagte Gründer Nicolas Dorier, die Berichte schienen Versionen älter als 2.4.2 zu betreffen und der Angreifer habe sich mit Administratorzugang bei betroffenen Servern angemeldet. Später am Sonntag teilte das Projekt mit, seine Untersuchung habe einen Angriffsvektor identifiziert, der Instanzen mit Version 2.4.1 oder älter ins Visier nimmt; diese Version wurde am 23. Juli veröffentlicht.
Das Projekt erklärte, es habe keine glaubwürdigen Meldungen über Abflüsse aus Hot Wallets bei der neuesten Version 2.4.7. Es bat betroffene Nutzer, Details und Logs an sein Sicherheitsteam zu senden. Die Angabe 2.4.2 des Gründers und die Grenze 2.4.1 und älter des Projekts sind beides zugeschriebene Aussagen, und das Projekt hat bisher keine formelle Warnmeldung veröffentlicht, die beide miteinander in Einklang bringt.
Hot Wallets und die jüngste Release-Historie
Da BTCPay selbst gehostet wird, betreibt jeder Händler die Software auf seinem eigenen Server, weshalb es keinen zentralen Betreiber gibt, der Instanzen abschalten könnte. Händler können eine Hot Wallet betreiben, bei der der Wallet-Seed auf einem mit dem Internet verbundenen Server liegt, sodass Transaktionen automatisch signiert werden können. Die Dokumentation von BTCPay kennzeichnet diese Funktion mit „DANGER“ und warnt, sie „bringt Sicherheitsimplikationen mit sich“.
Das Projekt veröffentlichte am Donnerstag Version 2.4.7 als Notfall-Update, das eine kritische und mehrere Schwachstellen mittlerer Schwere behebt; diese seien laut dem Projekt über den Open-Source-Scanner für Grenzmodelle von Anthropic identifiziert worden. BTCPay hat nicht mitgeteilt, ob die Angriffe eine dieser Schwachstellen ausgenutzt haben. Im August warnte das Projekt, dass eine kritische Schwachstelle, die alle Versionen vor 2.4.2 betrifft, aktiv ausgenutzt werde. Unterstützer finanzierten später eine Wiederherstellungsprämie von 10 % jedes zurückgegebenen gestohlenen Betrags, begrenzt auf 3 BTC.
Verluste und offene Fragen
Es wurde noch keine Verlustsumme veröffentlicht, und das Projekt hat nicht mitgeteilt, wie viele Wallets oder wie viel Bitcoin betroffen sein könnten. Eine formelle Nachbetrachtung hat es nicht angekündigt. Solange eine solche nicht veröffentlicht ist, bleiben der Gesamtumfang des Vorfalls und die genaue Versionsgrenze ungeklärt.
Warum es wichtig ist
Für Händler
Händler und Dienste, die Bitcoin über BTCPay annehmen, könnten Zahlungsstörungen erleben; ohne Verlustsumme lässt sich die Auswirkung auf den Markt jedoch schwer beziffern.
Für Investoren
Wiederholte Sicherheitsvorfälle in weit verbreiteter quelloffener Zahlungsinfrastruktur können das Vertrauen in selbst gehostete Bitcoin-Zahlungswege belasten, selbst wenn der Schaden begrenzt bleibt.
Für Entwickler
Betreiber sollten ihre installierte Version sowohl gegen die Grenze 2.4.1 und älter als auch gegen den Verweis des Gründers auf 2.4.2 prüfen, auf 2.4.7 aktualisieren und ihre Hot-Wallet-Schlüssel überprüfen, bis eine offizielle Warnmeldung veröffentlicht ist.
Dieser Artikel dient nur zur Information und stellt keine Finanzberatung dar. Vollständigen Haftungsausschluss lesen.
