BTCPay Server fordert Händler auf, ihre Server abzuschalten, nachdem Angreifer Bitcoin aus Hot Wallets abgezogen haben

BTCPay Server hat am Sonntag, dem 1. November, alle Betreiber der Software aufgefordert, sie abzuschalten. „Wir erhalten Berichte, dass Hot Wallets auf BTCPay-Servern von unbefugten Angreifern leergeräumt werden“, schrieb das Projekt auf X und bat Betreiber, ihre Instanzen bis zum Abschluss der Untersuchung offline zu lassen.

BTCPay ist eine kostenlose Open-Source-Software, die Geschäfte und andere Unternehmen auf eigenen Servern betreiben, um Bitcoin-Zahlungen direkt und ohne Verwahrer dazwischen anzunehmen. Manche Händler nutzen eine Hot Wallet, bei der die Seed-Phrase auf dem Server liegt, damit dieser Zahlungen ohne gesonderte Freigabe senden kann; die BTCPay-Dokumentation kennzeichnet diese Funktion als gefährlich, berichtete CoinDesk.

Gründer Nicolas Dorier sagte später laut CoinDesk, die Berichte beträfen offenbar Versionen vor 2.4.2, der Angreifer habe sich als Administrator angemeldet, und die eigenen öffentlichen Server des Projekts mit Version 2.4.7 seien nicht angegriffen worden. Das Team hat nicht gesagt, wie der Angreifer Zugang erhielt, und nicht bestätigt, dass neuere Versionen sicher sind. TokenPost berichtete, das Projekt habe betroffene Betreiber gebeten, die aktuelle Version zu installieren und Logs an sein Sicherheitsteam zu senden.

BTCPay hat weder eine Schadenssumme noch die Zahl der betroffenen Server veröffentlicht. Im August hatte das Projekt eine andere Schwachstelle in Versionen vor 2.4.2 behoben, durch die Zugangsdaten von Lightning-Knoten offengelegt wurden.