BTCPay-Notfallpatch legt Sicherheitsrisiko für Bitcoin -Händler offen

Der BTCPay Server , die Open-Source-Software, die Händler zur Akzeptanz Bitcoin, hat aufgrund einer Sicherheitslücke, die zum potenziellen Diebstahl von Geldern von Nutzern ausgenutzt wurde, verwenden ein Notfall-Update veröffentlicht

Wiedentim GitHub-Pull-Request #7491, ermöglicht diese Schwachstelle Cyberkriminellen, den TOTP-Zwei-Faktor-Sicherheitsmechanismus über die Greenfield-API-Basisauthentifizierung von BTCPay zu umgehen. Die Schwachstelle liegt darin, dass der Authentifizierungsmechanismus prüfte, ob gültige FIDO2-Anmeldeinformationendentwaren, anstatt zu überprüfen, ob das Zwei-Faktor-System überhaupt aktiviert war. Dadurch konnten Konten, die mit einer TOTP-Authenticator-Anwendung gesichert waren, allein mit ihrer E-Mail-Adresse und ihrendent.

Wichtig ist, darauf hinzuweisen, dass die Sicherheitslücke in der Anwendungsschicht von BTCPay liegt, nicht im Bitcoin (BTC)-Protokoll.

BTCPay hat Version 2.4.2 seiner Software veröffentlicht und gleichzeitig Nutzern empfohlen, auf Version 2.6.10 von NBXplorer zu aktualisieren. Die aktualisierte Software behebt eine kritische Sicherheitslücke, die derzeit ausgenutzt wird.

Ein Markt, der die Zahlungspanik gelassen hinnahm

Trotz der anhaltenden Sicherheitsbedenken im Zahlungssystem BitcoinMarktpreis und -bewertung relativ stabil. Bitcoin wird derzeit bei etwa 64.889 US-Dollar gehandelt, was einem Anstieg von lediglich 0,82 % gegenüber dem Vortag entspricht. Die Marktkapitalisierung von 1,3 Billionen US-Dollar stieg nur um 0,79 %. Obwohl das Handelsvolumen innerhalb von 24 Stunden um 20,98 % zunahm, deuten der relativ stabile Preis und die stabile Marktkapitalisierung darauf hin, dass der Vorfall diedent bisher nicht beeinträchtigt hat Bitcoinvon

Die verhaltene Reaktion ist verständlich. Die Sicherheitslücke bei BTCPay betrifft lediglich einzelne Händler und Betreiber, nicht aber die Konsensregeln oder die Kryptographie von Bitcoin.

Das bedeutet jedoch nicht, dass es unbedeutend ist. BTCPay stellt eine Verbindung zwischen dem Bitcoin Netzwerk und den Zahlungssystemen von Unternehmen her, die Rechnungen ausstellen, Zahlungen empfangen und Wallets verwalten. Daher ist es im Falle eines Angriffs auf das Betreiberkonto möglich, trotz des ordnungsgemäßen Funktionierens der Bitcoin Blockchain, reale finanzielle Verluste zu verursachen.

Was BTCPay den Betreibern geraten hat zu tun

Die unmittelbare Lösung für dieses Problem ist einfach: Aktualisieren Sie BTCPay Server auf Version 2.4.2 und, für Integratoren, NBXplorer auf Version 2.6.10.

Laut BTCPay ist die Verwendung vonAPI-Schlüsseln (Application Programming Interface) anstelle der Basisauthentifizierung vorzuziehen, da Berechtigungen so effektiver eingeschränkt werden können. Der neue Patch hat außerdem Änderungen am Authentifizierungsprozess vorgenommen, um zu überprüfen, ob die Zwei-Faktor-Authentifizierung (2FA) tatsächlich aktiv ist. Dadurch wird die Sicherheitslücke geschlossen, die es TOTP-geschützten Konten ermöglichte, die zweite Authentifizierungsebene zu umgehen.

Da BTCPay selbst gehostet wird, können sich die Betreiber nicht darauf verlassen, dass ein zentraler Anbieter den Patch für sie implementiert.

Ein dritter Schlag für das Zahlungssystem von Bitcoin

Die Ankündigung von BTCPay erfolgt nach einer turbulenten Woche für Bitcoin-Zahlungssystem. Cryptopolitan hatte zuvor berichtet, dass ZEUS, der Anbieter einer Lightning-Wallet, seine Zahlungsinfrastruktur aufgrund eines Sicherheitsproblems außer Betrieb genommen hatte; auch andere Lightning-Dienstleister waren betroffen.

Die Vorfälle deuten nicht darauf hin, dass die Bitcoin -Zahlungsprotokolle in irgendeiner Weise versagen. Sie zeigen jedoch, welch zusätzliches Sicherheitsrisiko durch die auf der Blockchain basierende Software entsteht.

Eine Studie aus dem Jahr 2024 von Forschern der Northeastern University und der TU Delft nutzte formale Modellierung, umdentSicherheitsprobleme im Single-Hop-Zahlungsprotokoll von LightningPayout Race“-Angriff.

Eine separate Studie aus dem Jahr 2026 untersuchte Angriffe zur Ermittlung von Kanalbalancenund stellte fest, dass Angreifer Informationen über die Balance von Lightning-Kanälen ableiten können. Die vorgeschlagene Gegenmaßnahme reduzierte den Informationsgewinn in Simulationen um bis zu 62 %.

Beide Studien offenbaren eine weitaus wichtigere Wahrheit: Die Sicherheit von Bitcoin hängt nicht allein von der Blockchain ab. Wallets, APIs, Zahlungsabwickler sowie die Lightning-Infrastruktur stellen zusätzliche Schwachstellen dar.

Nicht der erste kritische Fehler bei BTCPay

BTCPay war bereits zuvor von schwerwiegenden Sicherheitslücken betroffen. Im Januar 2023 meldete das Unternehmen CVE-2022-32984, ein kritisches Datenleck, das die Versionen 1.3.0, 1.4.0 und 1.5.3 von BTCPay betraf.

Die Sicherheitslücke barg das Potenzial, sensible Filialdaten über öffentlich zugängliche Kassensysteme preiszugeben und möglicherweise xpub- und Lightning-denteines externen Knotens offenzulegen. BTCPay behob dieses Problem in Version 1.5.4 und belohnte den Forscher Antoine Poinsot später mit einer Prämie von 5.000 US-Dollar.

Der Unterschied ist hier deutlich: Bei dem Angriff von 2023 handelte es sich um ein Informationsleck, während die jüngste Schwachstelle mit Authentifizierungsproblemen zu tun hat, die die TOTP-Sicherheit über die Greenfield-API umgehen.

Warum Händler jetzt mehr zu verlieren haben

Der Markt spitzt sich zu, da Bitcoin als Zahlungsmittel immer wertvoller wird. Eine im Februar 2026 veröffentlichte Studie von River prognostiziert der durchschnittlichen Bitcoin Nutzung durch Händler um 74 % allein im Jahr 2025, während die Nutzung von Lightning um 300 % zunahm und ein monatliches Volumen von über einer Milliarde US-Dollar erreichte.

Die umgebende Infrastruktur ist ebenfalls bedeutend. BuiltWith hat 248 Websites identifiziert , die den BTCPay-Server nutzen, darunter 74 aktive. Private oder andere nicht erkennbare Installationen sind in diesen Zahlen jedoch nicht enthalten.

Darüber hinaus zeigt der neueste Snapshot von 1ML, dass es 6.280 Lightning-Knoten, 21.221 Kanäle und eine aktuelle Netzwerkkapazität von 2.818,49 BTC gibt.

Diese Größenordnung macht Schwachstellen in der umgebenden Infrastruktur umso gravierender, selbst wenn die Basisschicht von Bitcoin in keiner Weise beeinträchtigt wurde.

Die Erkenntnisse aus dem Fall BTCPay legen nicht nahe, dass Bitcoin selbst fehlerhaft ist. Vielmehr deuten sie darauf hin, dass auf Bitcoin basierende Unternehmen ein höheres Sicherheitsrisiko tragen. Die Blockchain mag zwar weiterhin funktionieren, doch die von Händlern genutzten Anwendungen könnten zu einer Schwachstelle werden.

Für BTCPay-Betreiber ist die Priorität klar: Upgrade auf Version 2.4.2, Auswertung der Authentifizierungs- und Zugriffsprotokolle auf Anzeichen einer Kompromittierung und Verwendung spezifischer API-Schlüssel anstelle der Basisauthentifizierung, wann immer möglich.