Bitcoin hält sich nahe 64.000 US-Dollar, während BTCPay-Unterstützer 3 BTC Exploit-Prämie versprechen

Am Montag Bitcoin veränderte sich der Kurs kaum und wurde um die 64.000-US-Dollar-Marke gehandelt; währenddessen versprachen Unterstützer von BTCPay Server eine Prämie von bis zu 3 BTC zur Rückgewinnung gestohlener Mittel, die aus einer kritischen Schwachstelle in der Open-Source-Zahlungsssoftware resultierten.

Das mangelnde Enthusiasmus bedeutet, dass Händler das Ereignis wahrscheinlich als Bedrohung für Händler und Lightning-Nutzer, aber nicht für Bitcoin ansehen. Der Marktwert von Bitcoin wurde auf 1,28 Billionen US-Dollar geschätzt, und er hatte laut CoinMarketCap einen Rückgang von etwa einem halben Prozent erfahren. Der Hack beeinflusste Software, die auf Bitcoin aufbaut, und nicht das Netzwerk selbst.

Preise stabil, während einige Lightning-Knoten geleert wurden

Am 7. August enthüllte BTCPay Server, dass die Schwachstelle aktiv ausgenutzt wurde, und ermutigte seine Nutzer, auf Version 2.4.2 zu aktualisieren oder ihre Server zu stoppen, bis sie die Möglichkeit hatten, das Problem zu beheben. Zu den Nutzern, die meldeten, dass ihre Lightning-Knoten angegriffen wurden, gehörten Foundation und Citadel21. BTCPay gab jedoch nicht den Gesamtbetrag des Verlusts oder die Anzahl der betroffenen Knoten an.

Das Projekt erklärte, dass seine eigenen On-Chain-Geldbörsen, einschließlich Hot Wallets, nicht betroffen waren. Stattdessen konnten Angreifer LND-Administrator-Macaroon-Anmeldeinformationen von anfälligen BTCPay-Instanzen erhalten und diese nutzen, um verbundene Lightning-Geldbörsen zu steuern.

Unterstützer stellten 10% des wiederhergestellten Betrags bereit

Um Opfern bei der Rückgewinnung ihrer Mittel zu helfen, versprachen BTCPay-Unterstützer eine Prämie in Höhe von 10 % aller zurückgewonnenen gestohlenen Mittel, gedeckelt auf 3 BTC, falls der volle Betrag zurückgegeben wird.

Die BTCPay Server Foundation spendet zudem jeweils 0,21 BTC an den Sicherheitsforscher Craig Raw und den Bitcoin Red Team Fund für die Entdeckung und private Meldung der Sicherheitslücke. Raw, Entwickler der Sparrow Wallet, erklärte, er gehöre zu den Betroffenen.

Was der Macaroon-Fehler Angreifern ermöglicht

Alle BTCPay Server-Versionen vor 2.4.2, einschließlich Release-Kandidaten dieser Version, waren anfällig für das LND-Anmeldeinformationsrisiko. BTCPay hat dem Vorfall öffentlich keine CVE-Identifikationsnummer zugewiesen.

Der Macaroon ist eine Art Authentifizierungsanmeldeinformation, die von LND zur Autorisierung des API-Zugriffs verwendet wird. Die Sicherheitslücken ermöglichten es böswilligen Nutzern, den LND-Administrator-Macaroon von einem betroffenen Server zu erhalten, was ihnen die Kontrolle über den verknüpften Lightning-Knoten und die Wallets verschaffte.

Der Mechanismus zum Update sollte über das Admin-Dashboard → Server → Wartung → Update aufgerufen werden, wo die Betreiber prüfen können, ob der Footer 2.4.2 anzeigt. Falls sie das Update nicht sofort durchführen können, schlägt BTCPay vor, den Server abzuschalten.

Das bloße Anwenden der Patches reicht möglicherweise nicht aus. Betreiber müssen ihre Lightning-Anmeldeinformationen und Macaroons aktualisieren, da bereits gestohlene Anmeldeinformationen möglicherweise noch gültig sind. Laut der LND-Dokumentation macht die Löschung der Macaroon-Dateien die zuvor ausgestellten Anmeldeinformationen nicht ungültig – auch die Macaroon-Datenbank muss ersetzt werden.

Version 2.4.2 behandelte auch eine separate TOTP-Zwei-Faktor-Authentifizierung-Umgehung über Greenfield Basic Authentication, die am 4. August gemeldet wurde. Diese Situation ist jedoch nicht mit dem aktuell ausgenutzten LND-Flaw verwandt.

Warum die umgebende Software die Schwachstelle ist

Dieser Vorfall ist hauptsächlich ein Infrastrukturproblem, da der betreffende Defekt die Anwendungsschicht von BTCPay betrifft und nicht die Konsensregeln oder die Kryptografie, auf die Bitcoin zurückgreift. Infolgedessen funktionierte das Bitcoin-Netzwerk weiterhin ohne Probleme.

Ein erheblicher Fußabdruck besteht weiterhin. BuiltWith gibt an, dass 248 Websites BTCPay Server zu verschiedenen Zeiten genutzt haben, darunter 74 derzeit betriebene Websites, obwohl solche Messungen private Installationen nicht einschließen.

Inzwischen hat 1ML gemeldet, dass es derzeit etwa 5.585 aktive Lightning-Knoten gibt und der gesamte in ihnen verfügbare BTC-Betrag etwa 2.640 BTC beträgt. River behauptet, dass die Bitcoin-Adoption durch Händler 2025 um 74 % gestiegen ist, wobei die monatlichen Transaktionen im Lightning Network 1 Milliarde US-Dollar überschritten haben.

KI auf beiden Seiten des Exploits

BTCPay sagte, der Vorfall unterstreiche auch, wie KI die Software-Sicherheit verändert. Bessere KI-unterstützte Codeanalyse kann Verteidigern helfen, Schwachstellen schneller zu finden, aber sie kann auch die Kosten für Angreifer senken, große Open-Source-Codebasen zu untersuchen.

Diese Sorge erstreckt sich über Zahlungsssoftware hinaus. Der jüngste Coldcard-Breach entleerte etwa 1.816 BTC aus mehr als 5.200 Adressen, wobei die Auswirkungen über die gestohlenen Mittel hinausgingen, da das Unternehmen vorübergehend seine Datenbehaltungspraktiken änderte.

Chainalysis hat ebenfalls gewarnt, dass KI-unterstützte Analyse und einfachere Smart-Contract-Decompilierung Angriffe gegen schlecht überprüften Code einfacher skalierbar machen könnten.

Für die Bitcoin-Infrastruktur ist die Lehre breiter als jeder einzelne Fehler: KI kann die Entdeckung von Sicherheitslücken beschleunigen, aber erfolgreiche Angriffe können weitreichende Folgen haben, die über kompromittierten Code hinausgehen – von geleerten Wallets und unterbrochenen Zahlungen bis hin zu Ermittlungen und Änderungen in der Art und Weise, wie Unternehmen mit Kundendaten umgehen.