BTCPay-Notfallupdate nach Angriffen auf Lightning-Nodes

BTCPay Server, eine selbstgehostete Bitcoin-Zahlungsinfrastruktur, hat am 7. August 2026 eine kritische, aktiv ausgenutzte Sicherheitslücke bestätigt. Angreifer räumten dabei Lightning-Nodes mehrerer Betreiber leer, bevor die meisten Nutzer von der Warnung erfahren hatten.

Kritische Lücke und Notfall-Patch

BTCPay veröffentlichte um 11:51 Uhr ET eine dringende Mitteilung, wonach eine kritische Sicherheitslücke aktiv ausgenutzt werde und zu Verlusten von Geldern führen könne. Der Beitrag erreichte innerhalb von fünf Stunden mehr als 550.000 Aufrufe. Dies zeigt, wie schnell sich die Warnung in der Bitcoin-Zahlungscommunity verbreitete.

Gründer Nicolas Dorier veröffentlichte am selben Morgen Version 2.4.2 und forderte Nutzer in den Release Notes zu einem schnellstmöglichen Update auf. Integratoren wurden zusätzlich aufgefordert, das Wallet-Tracking-Backend NBXplorer auf Version 2.6.10 zu aktualisieren. Der Patch begrenzt außerdem die öffentliche Erstellung von Invoices und markiert neun Controller-Methoden als nicht mehr routbar, um versehentlich erreichbare HTTP-Endpunkte zu schließen. Die bereits bestehende Berichterstattung zur BTCPay-Sicherheitslücke liefert zusätzlichen Kontext zum Notfall-Update.

Selbstgehostete Infrastruktur als Schwachstelle

Weil BTCPay selbstgehostet betrieben wird, gibt es keine zentrale Instanz, die den Patch für alle Installationen gleichzeitig ausrollen kann. Jeder Merchant, jede Börse und jeder Wallet-Betreiber muss das Update eigenständig einspielen. In diesem Fall liefen die Diebstähle bereits, bevor die meisten Nutzer die Warnung sahen.

BTCPay weist zudem darauf hin, dass ein Software-Update allein nicht ausreicht. Nutzer sollen ihre Macaroon-Dateien und die macaroons.db erneuern sowie Authentifizierungsstrings für andere Lightning-Backends zurücksetzen, da gestohlene Zugangsdaten auch nach dem Patch weiterhin Zugriff ermöglichen können.

Betroffene und Entdeckung der Lücke

Zu den bestätigten Betroffenen zählt der Hardware-Wallet-Hersteller Foundation. CEO Zach Herbert teilte mit, der Lightning-Node des Unternehmens sei über Nacht leergeräumt worden. Betroffen gewesen sei ausschließlich der für die Zahlungsabwicklung genutzte Node; die Hot Wallet sei unangetastet geblieben. Auch hodlonaut, ein pseudonymer Kommentator hinter dem Bitcoin-Zine Citadel21, meldete einen leergeräumten Node und erklärte, dass dort keine nennenswerten Beträge lagen. Eine Gesamtsumme der gestohlenen Mittel wurde bislang nicht veröffentlicht.

Bemerkenswert ist der Entdeckungsweg: Dorier zufolge wurde die Lücke nicht durch automatisierte KI-Scans gefunden, sondern nachdem Sparrow-Wallet-Entwickler Craig Raw selbst Gelder verloren und die Logs analysiert hatte. Das freiwillige Bitcoin Red Team hatte in der Woche zuvor KI-gestützte Audits über den Open-Source-Stack laufen lassen, doch laut Dorier fehlte genau dieser Fehler im Bericht.

Dorier stellte außerdem klar, dass es sich nicht um die bereits am 4. August behobene 2FA-Bypass-Lücke in BTCPays API Greenfield handelt, sondern um einen separaten Fehler. Ein vollständiger technischer Bericht zur Ursache der aktiv ausgenutzten Lücke steht laut Core-Contributor Uncle Rockstar noch aus.

Einordnung in eine schwierige Woche für Bitcoin-Infrastruktur

Der Vorfall reiht sich in eine Serie von Sicherheitsproblemen bei Bitcoin-naher Infrastruktur ein. Eine seit 2021 bestehende Coldcard-Firmware-Lücke hat seit dem 30. Juli nach aktuellem Stand rund 114 Millionen US-Dollar über mehr als 5.200 Adressen abfließen lassen. Details dazu liefert der Beitrag zur Coldcard-Sicherheitslücke. Am 3. August stoppte zudem die Swap-Bridge Boltz ihren Dienst und begründete dies damit, Angreifer würden mittlerweile schneller iterieren, als ein Team dieser Größe patchen könne.

Bitcoin selbst zeigte sich von den Vorfällen unbeeindruckt: Laut CoinGecko notierte der Kurs am Freitagnachmittag bei rund 64.800 US-Dollar, ein Plus von 0,7 Prozent binnen 24 Stunden und 2,6 Prozent auf Wochensicht. Infrastruktur-Sicherheitsvorfälle in der Bitcoin-Peripherie schlagen sich damit nicht zwangsläufig im Kurs des Assets nieder, selbst wenn die Verluste real und ungeklärt bleiben.