Sicherheitsanfälligkeit bei Alby Hub
Am 9. September 2026 hat Alby, ein Unternehmen, das sich auf das Bitcoin Lightning Network und Nostr-Tools spezialisiert hat, eine kritische Sicherheitsanfälligkeit in älteren Versionen von Alby Hub, einem Lightning-zentrierten Knoten und Wallet, bekannt gegeben. Das Team informierte am Mittwoch über die Social-Media-Plattform X und erklärte:
„Wir haben eine kritische Schwachstelle in Alby Hub v1.7.0 bis v1.18.5 (Versionen vor August 2025) bestätigt, wenn der Hub öffentlich über das Internet zugänglich ist.“
Diese Schwachstelle könnte es einem Angreifer, der Zugriff auf die Verwaltungs-API des Hubs hat, ermöglichen, unbefugt Gelder zu senden. Alby fügte hinzu:
„Alby Hub v1.19.0 (veröffentlicht am 29. August 2025) oder neuere Versionen sind nicht betroffen. Wie bei jedem Vorfall dieser Art bedauern wir dies zutiefst – insbesondere für die betroffenen Nutzer. Nach unserem aktuellen Kenntnisstand wurde ein Nutzer betroffen, der glücklicherweise diese Details gemeldet hat. Wir haben in den letzten Jahren all unsere Energie und Ressourcen in dieses Projekt gesteckt, und ein Problem wie dieses trifft uns hart.“
Empfehlungen für betroffene Nutzer
Für Nutzer, die möglicherweise betroffen sind, empfiehlt Alby, zunächst zu überprüfen, welche Version installiert ist. Wenn ein Nutzer eine betroffene Version verwendet, sollte er:
- den öffentlichen Zugang zur Verwaltungsoberfläche seines Hubs sperren
- sofort auf v1.24.0, die neueste Version von Alby Hub, aktualisieren
Alby dankte auch den Entwicklern des Bitcoin Red Teams, die „mehrere Probleme gemeldet haben, die in der neuesten Version behoben wurden.“ Betroffene Nutzer, die dem Internet ausgesetzt waren, sollten nach dem Update auch ihr Entsperrpasswort ändern.
Vorfall bei Boltz
Diese Nachricht folgt einem kürzlichen Vorfall mit Boltz, einem weiteren Lightning Network-zentrierten Protokoll, das eine nicht verwahrte Brücke bietet. Die Plattform ermöglicht es, Bitcoin zwischen der Hauptkette, dem Lightning Network und dem Liquid Network mithilfe von atomaren oder Unterwasserswaps, die auf HTLC basieren, zu bewegen. Am 3. August 2026 nahm Boltz die Swaps offline. Zu diesem Zeitpunkt erklärte das Unternehmen, dass dies nicht nur ein Fehler war, sondern das Ergebnis von Monaten automatisierter, KI-unterstützter Erkundungen, die einige Exploits enthielten, gefolgt von einer raschen Beschleunigung.
„Angreifer jetzt schneller iterieren, als ein Team unserer Größe finden und beheben kann.“
Nach eigenen KI-unterstützten Scans gab das Boltz-Team an, dass sie die Swaps nicht sicher wieder aktivieren konnten, während „mehrere einfallsreiche Gruppen“ aktiv auf sie abzielten. Die Realität ist, dass KI Bugs im gesamten Kryptowährungs-Ökosystem schneller entdeckt als je zuvor in der Geschichte.
Schlussfolgerung und Empfehlungen
Beide Projekte sind Lightning-nah, Open-Source und verfolgen ein „Du behältst die Schlüssel“-Design. In Zukunft betont das Alby-Team, dass Nutzer die neueste Version des Hubs ausführen müssen. Das Unternehmen empfiehlt zudem, den Hub nicht dem offenen und öffentlichen Internet auszusetzen.
„Wir empfehlen, ihn hinter einer Firewall oder in einem privaten Netzwerk zu betreiben.“
