BTCPay-Gründer verknüpft Hot-Wallet-Abzüge mit Admin-Logins auf Servern älter als 2.4.2
- Nicolas Dorier, Gründer von BTCPay Server, sagte am Sonntag, dass die Leerräumungen der Hot Wallets wahrscheinlich Server betreffen, die ältere Releases als 2.4.2 ausführen.
- Der Angreifer hat sich als Administrator bei diesen Instanzen angemeldet, und das Team weiß noch nicht, wie dies geschah.
- BTCPay fand einen Angriffsvektor, der auf Version 2.4.1 oder älter abzielte, und gab keine glaubwürdigen Berichte über Leerräumungen bei Version 2.4.7 bekannt.
Die am Sonntag gemeldeten Leerräumungen von Hot Wallets scheinen Server zu betreffen, die ältere Releases als 2.4.2 ausführen, so Nicolas Dorier, Gründer von BTCPay Server.
Der Angreifer hat sich als Administrator bei diesen Instanzen angemeldet, und das Team ermittelt noch, wie dies geschah.
Die Untersuchung ordnet den Angriffsvektor den Releases 2.4.1 oder früher zu.
BTCPay hat um 17:25 Uhr ET am Sonntag eine Warnung herausgegeben. Es wurde allen, die eine Instanz betreiben, geraten, diese mit ./btcpay-down.sh herunterzufahren, bis die Untersuchung abgeschlossen ist.
Dorier veröffentlichte etwa zwei Stunden später einen Beitrag. Die öffentlichen Server von BTCPay, die mit Version 2.4.7 liefen, wurden nicht angegriffen, sagte er.
Dorier later stated the team had traces that “pre 2.4.2 vulnerabilities were used.”
BTCPays Update um 23:07 Uhr ET präzisierte das Ziel. Die Untersuchung ergab einen Angriffsvektor, der Instanzen zielte, die auf Version 2.4.1 (veröffentlicht am 23. Juli) oder früheren Versionen liefen.
Das Projekt hatte „keine glaubwürdigen Berichte über geleerte Hot-Wallets“ von Nutzern auf Version 2.4.7, die am 29. Oktober veröffentlicht wurde. Es riet Betreibern, die Software aktuell zu halten, und bat Opfer, Details und Logs an sein Sicherheitsteam zu senden.
Einige Hosting-Anbieter haben Instanzen möglicherweise automatisch heruntergefahren, um zu verhindern, dass ältere Versionen ausgenutzt werden. BTCPay bedankte sich bei LunaNode und anderen für ihr schnelles Handeln.
Operators who have updated at least once since 2.4.2 was released have “no reason to panic,” Dorier said. He also warned users not to keep too much in a hot wallet, promising a blog post with more detail.
Die Entleerungen am Sonntag erreichten Gelder, die der August-Beratung als sicher galten
Da BTCPay selbst gehostet wird, kann das Projekt den Server eines Händlers nicht ändern oder herunterfahren. Sein Hot-Wallet-Modus signiert Zahlungen mit einem Seed, der auf diesem Server gespeichert ist, was bedeutet, dass jeder, der diesen Server kontrolliert, die Coins bewegen kann.
Die 2.4.2er-Reihe stammt aus dem August. BTCPay veröffentlichte am 7. August Version 2.4.2, um eine kritische Sicherheitslücke zu schließen, auf die bereits Angriffe stattfanden, wie Cryptopolitan berichtete.
Jede vorherige Version, einschließlich der Release-Kandidaten von 2.4.2, ermöglichte es einem nicht authentifizierten Angreifer, LND-Macaroon-Anmeldeinformationen zu stehlen. Ein Angreifer konnte einen Lightning-Knoten übernehmen und dessen Gelder bewegen.
Foundation und Citadel21 meldeten Angriffe auf ihre Lightning-Knoten. Craig Raw, Entwickler des Sparrow Wallet, sagte, dass er ebenfalls betroffen war.
Mit der Veröffentlichung von 2.4.2 wurden die Macaroons von LND automatisch neu erstellt. Wenn Betreiber LND über ihren eigenen Proxy, Tor-Dienst oder weitergeleiteten Port freigegeben hatten, mussten sie diese Anmeldeinformationen manuell ändern.
Version 2.4.2 behebt auch eine separate TOTP-Zwei-Faktor-Umgehung über die Basic Authentication der Greenfield API, gemeldet am 4. August. BTCPay sagte, der Fehler stehe nicht im Zusammenhang mit dem Macaroon-Hack.
Laut der eigenen Hinweis von BTCPay waren dessen eigene On-Chain-Wallets, einschließlich Hot Wallets, nicht von dieser Schwachstelle betroffen. Berichte vom Sonntag deuteten darauf hin, dass Hot Wallets geleert wurden.
Neither BTCPay nor Dorier has said if the attacker exploited the August macaroon bug or some other pre-2.4.2 vulnerability. In August, backers put up a recovery bounty of 10% of returned funds, up to 3 BTC.
River berichtete, dass die durchschnittliche Bitcoin-Nutzung von Händlern im Jahr 2025 um 74 % wuchs, wobei das Lightning-Volumen monatlich über 1 Milliarde US-Dollar lag.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Häufig gestellte Fragen
Was hat BTCPay Server die Betreiber geboten zu tun?
Ihre Instanzen mit `./btcpay-down.sh` herunterzufahren, bis die Untersuchung abgeschlossen ist.
Waren Hot-Wallets in dem früheren Vorfall im August betroffen?
Nein. BTCPay gab an, dass seine On-Chain-Wallets, einschließlich der Hot-Wallets, nicht von dem August-Fehler betroffen waren.
Welche BTCPay-Versionen waren anfällig für den August-Bug?
Jede Version vor 2.4.2, einschließlich der Release-Kandidaten, hat LND-Macaroon-Anmeldeinformationen offengelegt.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com übernimmt keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor der Entscheidung für eine Anlage unabhängige Recherchen durchzuführen und/oder sich mit einem qualifizierten Fachmann beraten zu lassen.
Randa Moses
Randa Moses ist Redakteurin und Reporterin bei Cryptopolitan, wo sie über Technologie, KI, Robotik, Krypto, Betrug und Hacks berichtet. Sie arbeitet seit 2017 im Krypto-Bereich. Zuvor war sie bei Forward Protocol, AmaZix und Cryptosomniac tätig. Randa besitzt einen Abschluss in Elektrotechnik und Elektronik der University of Bradford.
