Bitcoin-Zahlungsprozessor BTCPay von Berichten über Diebstahl aus Hot Wallets betroffen

Notabschaltung des BTCPay Servers

Der BTCPay Server gab am 1. November 2026 eine Notabschaltung bekannt, nachdem Berichte eingegangen waren, dass Angreifer Bitcoin aus Hot Wallets, die mit selbstgehosteten Zahlungsservern verbunden sind, abgezogen hatten. Gründer Nicolas Dorier verknüpfte die gemeldeten Kompromittierungen mit Versionen vor 2.4.2 und wies darauf hin, dass öffentliche Server, die Version 2.4.7 ausführen, nicht angegriffen worden seien.

Dringende Mitteilung und Anweisungen

Die Warnung kam nur drei Tage nach einer KI-unterstützten Sicherheitsüberprüfung, die 85 Schwachstellen behob, und wirft Fragen zu den Risiken auf, denen Betreiber ausgesetzt sind, die Software-Updates verzögern. Um etwa 22:25 UTC am 1. November veröffentlichte das offizielle Konto des BTCPay Servers eine dringende Mitteilung:

„Wir erhalten Berichte, dass Hot Wallets auf BTCPay Servern von unbefugten Angreifern geleert werden.“

Die Betreiber wurden angewiesen, ihre Instanzen mit dem Befehl ./btcpay-down.sh herunterzufahren, bis die Ermittler klären konnten, was passiert war. Der Hauptbeitragende Uncle Rockstar Developer verstärkte die Warnung und erklärte:

„Kein Drill: Fahren Sie Ihren BTCPay Server herunter, wenn Sie eine Hot Wallet haben.“

Verantwortung der Betreiber

Der BTCPay Server ist eine Open-Source-Software, die es Händlern ermöglicht, Bitcoin (BTC)-Zahlungen zu akzeptieren, ohne auf einen herkömmlichen Zahlungsintermediär angewiesen zu sein. Betreiber können die Software selbst hosten und ihre eigene Wallet-Infrastruktur verwalten. Diese Unabhängigkeit bringt Verantwortung mit sich.

Zum Zeitpunkt der Berichterstattung hatten die Entwickler weder die Gesamtmenge an gestohlenem Bitcoin noch die Anzahl der betroffenen Händler bekannt gegeben. Die erste Warnung lieferte auch keinen bestätigten Bericht darüber, wie die Angreifer zunächst in die kompromittierten Systeme eingedrungen waren.

Ermittlungen und Schwachstellen

Gründer Nicolas Dorier bot anschließend eine spezifischere Erklärung an. Seine vorläufigen Erkenntnisse deuteten darauf hin, dass die betroffenen Installationen Software vor Version 2.4.2 verwendeten. Berichten zufolge erlangten Angreifer Administratorzugang, wobei forensische Spuren auf Schwachstellen in diesen älteren Versionen hinwiesen. Dorier wies auch darauf hin, dass öffentliche und Demoversionen, die Version 2.4.7 ausführen, nicht angegriffen worden seien.

Diese Unterscheidung schränkt die Möglichkeit ein, dass die neueste Notfallversion selbst die gemeldete Kompromittierung eingeführt hat. Es wird jedoch nicht festgestellt, dass jede aktuelle Installation immun ist, und die Ermittler haben noch keinen vollständigen technischen Bericht veröffentlicht.

Frühere Schwachstellen und deren Behebung

Das Projekt hatte zuvor im August eine separate Schwachstelle behoben, die es nicht authentifizierten Angreifern ermöglichte, Lightning Network Daemon (LND)-Macaroon-Anmeldeinformationen zu erhalten, die als Autorisierungstoken fungieren. Dieser Fehler wurde in Version 2.4.2 behoben. Die Entwickler hatten zuvor erklärt, dass die eigenen Onchain-Wallets von BTCPay durch diese spezifische Schwachstelle nicht gefährdet waren.

Ob die neuesten Diebstähle dieselbe Schwäche, einen anderen älteren Fehler oder mehrere Schwächen betrafen, wurde nicht abschließend geklärt.

Zusammenhang mit KI-unterstützter Sicherheitsforschung

Der Zeitpunkt fügt eine weitere Wendung hinzu. Am 29. Oktober veröffentlichte BTCPay Server Version 2.4.7, nachdem Berichte über Schwachstellen eingegangen waren, die durch die Open-Source-Sicherheitsprüfungsinitiative von Anthropic generiert wurden. Die Veröffentlichung behandelte 85 Erkenntnisse, darunter ein kritisches, 13 hochgradige, 52 mittelgradige und 19 niedriggradige Probleme.

Die Offenlegungen erfolgten im Rahmen einer breiteren Expansion der KI-unterstützten Schwachstellenforschung im Jahr 2026, da Systeme, die von KI-Riesen wie Anthropic, OpenAI und Google entwickelt wurden, zunehmend ausgeklügelte Fähigkeiten zur Identifizierung von Software-Schwächen demonstrierten.

Schlussfolgerung und Ausblick

Der Vorfall bei BTCPay veranschaulicht einen kritischen Unterschied zwischen der Entdeckung von Schwachstellen und dem Schutz von bereitgestellter Software. Die Veröffentlichung von Fixes aktualisiert nicht automatisch unabhängig betriebene Server. Unternehmen, darunter Coincards, nahmen BTCPay-Installationen nach der Warnung offline.

Für Händler schafft die Unterbrechung einen unmittelbaren Kompromiss zwischen der Verfügbarkeit von Zahlungen und dem Schutz von Geldern, die über verbundene Wallets zugänglich sind. Dorier betonte die Bedeutung, die Salden von Hot Wallets auf Beträge zu beschränken, die die Betreiber sich leisten können zu verlieren.

Es wurde keine endgültige Verlustschätzung, kein neuer, spezifischer Patch für den Vorfall oder eine Entwarnung in den bereitgestellten Updates bekannt gegeben. Die Entwickler bereiteten eine umfassendere Erklärung vor. Die besorgniserregende Frage geht über BTCPay hinaus: Können unabhängig betriebene Zahlungsinfrastrukturen mit den Fixes Schritt halten, während KI-Systeme die Entdeckung von Schwachstellen beschleunigen?