Bitcoin Lightning Nodes: Leck in BTCPay Server leert Konten

Hacker haben eine kritische Schwachstelle im Open-Source-Zahlungsprozessor BTCPay Server ausgenutzt und erfolgreich Bitcoin von Lightning Network-Knoten abgezogen. Der Angriff, der am 8. August 2026 entdeckt wurde, ermöglichte unbefugten Zugriff auf LND (Lightning Network Daemon) Macaroon-Dateien – digitale Berechtigungsnachweise zur Steuerung von Lightning-Knoten – ohne jegliche Authentifizierung. Mindestens zwei bestätigte Opfer, der Hardware-Wallet-Hersteller Foundation und das Bitcoin-Magazin Citadel21, mussten die Schließung ihrer Lightning-Kanäle und den Abfluss ihrer Gelder hinnehmen. BTCPay veröffentlichte umgehend Version 2.4.2 als Notfall-Patch und forderte alle Knotenbetreiber auf, zu aktualisieren oder ihre Server herunterzufahren. Dies ist der zweite große Infrastruktur-Exploit innerhalb einer Woche, nach dem Coldcard-Hack, der Berichten zufolge zum Diebstahl von über 1.700 BTC führte, und wirft dringende Fragen zur Sicherheit des Bitcoin Lightning Network-Ökosystems auf.

Was ist passiert?

Der Exploit zielte auf BTCPay Server-Installationen ab, die mit LND, der beliebtesten Lightning Network-Knotensoftware, integriert sind. BTCPay Server wird häufig von Händlern und Einzelpersonen genutzt, um Bitcoin-Zahlungen direkt, ohne Zwischenhändler, zu akzeptieren. Die Schwachstelle ermöglichte es Angreifern, Macaroon-Dateien – Trägertoken, die volle Zugriffsrechte gewähren – ohne Anmeldung abzurufen. Mit diesen Daten konnte ein Angreifer den LND-Knoten fernsteuern und Gelder abziehen. Die Schwachstelle wurde vom Bitcoin Red Team gemeldet, einer Sicherheitsgruppe, die KI zur Schwachstellensuche einsetzt. Die eigentliche Entdeckung machte jedoch Craig Raw, Entwickler der Sparrow Wallet, der den Verlust seiner Gelder über Serverprotokolle nachverfolgte. Der Fehler lag in der 2FA-Schicht der Greenfield-API: Bei aktiviertem TOTP 2FA prüfte der Code fälschlicherweise FIDO2-Schlüssel, sodass nur E-Mail und Passwort ausreichten.

Wie der Angriff ablief

Die Architektur von BTCPay Server ist darauf ausgelegt, Händlern volle Kontrolle über ihre Gelder zu geben, doch dieselbe Offenheit kann zu einer Belastung werden, wenn Anmeldedaten durchsickern. Normalerweise sind die Macaroon-Dateien hinter der Authentifizierungswand von BTCPay geschützt. In den kompromittierten Versionen erzwang der API-Endpunkt, der diese Dateien bereitstellt, keine korrekte Anmeldeüberprüfung. Ein Angreifer konnte eine einfache HTTP-Anfrage an /api/v1/server/lnd/credentials stellen und die Macaroon-Daten im Klartext erhalten. Nach Erhalt importierte der Angreifer die Datei in seine eigene LND-Instanz und klonte so den Knoten des Opfers. Von dort aus konnte er Lightning-Kanäle schließen und die On-Chain-Abwicklung der Kanalguthaben auf von ihm kontrollierte Adressen erzwingen. Da Lightning-Kanäle off-chain arbeiten, war der Diebstahl nicht sofort auf der Bitcoin-Blockchain sichtbar – nur die endgültige Abwicklungstransaktion erschien. Dies verzögerte die Erkennung und verschaffte den Angreifern einen Vorsprung. Die Schwachstellen bei Kryptowährungs-Zahlungsprozessoren unterstreichen die Risiken von Selbstverwahrungslösungen, wenn Softwareabhängigkeiten nicht rechtzeitig gepatcht werden.

Opfer und gestohlene Gelder

Foundation, bekannt für seine Passport-Hardware-Wallet, bestätigte, dass sein Unternehmens-Lightning-Knoten über Nacht geleert wurde. CEO Zach Herbert erklärte, dass die Angreifer alle aktiven Kanäle schlossen und die Gelder abzogen, obwohl die von BTCPay generierte Hot Wallet des Unternehmens (die einen separaten On-Chain-Schlüssel verwendet) unberührt blieb. Citadel21, eine auf Bitcoin fokussierte Publikation, meldete ebenfalls einen geleerten Lightning-Knoten, wobei der verlorene Betrag als gering bezeichnet wurde. BTCPay hat die Gesamtzahl der betroffenen Nutzer oder den aggregierten Wert der gestohlenen Gelder nicht offengelegt, räumte jedoch ein, dass mehrere Knoten vor der öffentlichen Warnung kompromittiert wurden. Der Vorfall ist besonders schädlich, da viele betroffene Betreiber kleine Händler und Bitcoin-Enthusiasten sind, die BTCPay betreiben, um das Verwahrrisiko zu vermeiden – ironischerweise eine Funktion, die sie diesem neuartigen Angriffsvektor aussetzte. Die Sicherheitsverstöße im dezentralen Finanzwesen unterstreichen die Notwendigkeit einer robusteren Prüfung der Open-Source-Finanzinfrastruktur.

Notfallreaktion und Schadensbegrenzung

BTCPay reagierte schnell. Innerhalb weniger Stunden nach der ersten Meldung wurde Version 2.4.2 veröffentlicht, die die Authentifizierungsumgehung schloss. Der Patch allein reicht jedoch nicht aus: Gestohlene Macaroon-Dateien sind statische Anmeldedaten, die Software-Updates überleben. Betroffene Betreiber müssen die kompromittierten Macaroon-Dateien manuell löschen und über die BTCPay-Oberfläche neue generieren. Zudem wird ihnen geraten, alle Authentifizierungstoken, einschließlich des BTCPay-'Auth-Strings', zu erneuern und verbleibende Gelder von LND-On-Chain-Wallets auf neue Adressen zu übertragen. Das Projekt versprach eine vollständige technische Post-Mortem-Analyse, sobald Administratoren Zeit hatten, ihre Systeme zu sichern. Das Bitcoin Red Team, das in dieser Woche bereits Tausende potenzieller Probleme in Hunderten von Projekten gemeldet hatte, betonte, dass seine KI-gestützten Scan-Tools keinen Ersatz für manuelle Code-Überprüfungen darstellen. Dieser Vorfall hat die Debatte über die Sicherheit selbstverwahrter Bitcoin-Lösungen und die Frage, ob die Komplexität des Lightning Network seine Sicherheitsreife überholt, neu entfacht.

FAQ

Was ist BTCPay Server?

BTCPay Server ist ein kostenloser, selbst gehosteter Bitcoin-Zahlungsprozessor, der sowohl On-Chain- als auch Lightning-Zahlungen unterstützt.

Wie funktionierte der Hack?

Angreifer nutzten einen 2FA-Umgehungsfehler in der Greenfield-API aus, um LND-Macaroon-Dateien ohne Anmeldung herunterzuladen und die Knoten zu kontrollieren.

Wer war betroffen?

Bestätigte Opfer sind der Wallet-Hersteller Foundation und die Publikation Citadel21; die Gesamtzahl ist unbekannt.

Wie kann ich meinen BTCPay Server schützen?

Aktualisieren Sie auf Version 2.4.2, löschen Sie alte Macaroon-Dateien, generieren Sie neue und übertragen Sie Gelder auf frische Adressen.

Sind On-Chain-BTCPay-Wallets sicher?

Ja, die Schwachstelle betraf nur LND-Lightning-Knoten; On-Chain-Wallets, die in BTCPay generiert wurden, sind nicht betroffen.