Das BTCPay-Team meldete in einem X-Post, dass Angreifer am späten Freitagabend Lightning-Knoten geleert haben, die unter BTCPay Server liefen, indem sie eine kritische Schwachstelle ausnutzten, welche die schützenden LND-Zugangsdateien offenlegte. Die Schwachstelle erlaubte es nicht authentifizierten Remote-Angreifern, ".macaroon"-Dateien zu erlangen, die Software die Berechtigung zur Interaktion mit einem LND-Lightning-Knoten gewähren, und diese zu nutzen, um die Kontrolle zu übernehmen und Gelder zu bewegen. Sowohl der Hardware-Wallet-Hersteller Foundation als auch die Bitcoin-Publikation Citadel21 wurden als Opfer bestätigt. Foundation-CEO Zach Herbert erklärte, Angreifer hätten den Lightning-Knoten des Unternehmens über Nacht leergeräumt. BTCPay wies alle LND-Betreiber an, sofort auf Version 2.4.2 zu aktualisieren oder den Server offline zu nehmen, ein vollständiger Postmortem wird in den kommenden Tagen erwartet.
Warum es wichtig ist
Die Schwachstelle liegt an der Schnittstelle zwischen Händler-Adoption und Bitcoin-Infrastruktur und trifft kleine Unternehmen, die Bitcoin über Lightning akzeptieren, nicht aber einzelne Halter. BTCPay ist einer der am weitesten verbreiteten Self-Custody-Zahlungsstacks im Ökosystem und wird von Händlern genutzt, um BTC und Lightning ohne Zwischenhändler zu akzeptieren. Die Zugangsdaten-Schwachstelle kompromittierte gezielt Lightning-Wallets, die LND nutzen, während BTCPays standardmäßige On-Chain-Wallets, die innerhalb der Plattform erzeugt werden, nicht betroffen waren. Das verengte den Radius, beseitigte ihn aber nicht: Gelder in LNDs eigener On-Chain-Wallet liegen unter demselben kompromittierten Knoten. Das Bitcoin Red Team, eine Gruppe von Entwicklern, die Anfang dieser Woche begonnen hatte, KI-Modelle auf Bitcoin-Codebasen anzusetzen, hatte die Schwachstelle bereits vor der Live-Ausnutzung an BTCPay gemeldet. Die Begründung des Projekts für die schnelle Offenlegung war, dass externe Angreifer denselben Bug ohnehin finden würden.
Marktauswirkungen
Der Vorfall fällt in eine Woche, die dasselbe Red Team als „extrem schlecht" für Bitcoin-Software bezeichnete, nachdem es 85 kritische Bugs in Hunderten von Projekten gemeldet hatte. Für die Lightning-Adoption im Besonderen ist das Timing ungünstig: Händler, die abwägen, ob sie BTC über selbstgehostete Infrastruktur akzeptieren sollen, haben nun einen Live-Exploit vorzuweisen, obwohl keine protokollbezogene Schwäche in Lightning selbst involviert war.
Häufig gestellte Fragen
-
Was ist die BTCPay-Schwachstelle und wie funktioniert sie?
Die Schwachstelle erlaubt es nicht authentifizierten Remote-Angreifern, LND-Zugangsdateien vom Typ ".macaroon" aus BTCPay-Server-Installationen zu erlangen, was ihnen die Berechtigung gibt, mit dem zugrundeliegenden Lightning-Knoten zu interagieren und ihn zu leeren.
-
Welche BTCPay-Wallets sind betroffen?
Nur Lightning-Knoten, die LND betreiben, sind exponiert. Die standardmäßigen On-Chain-Wallets von BTCPay, die innerhalb der Plattform erzeugt werden, bleiben sicher, obwohl Gelder in LNDs eigener On-Chain-Wallet weiterhin unter dem kompromittierten Knoten liegen.
-
Wer wurde bisher als Opfer bestätigt?
Sowohl der Hardware-Wallet-Hersteller Foundation als auch die Bitcoin-Publikation Citadel21 bestätigten, dass ihre Lightning-Knoten leergeräumt wurden. BTCPay hat weder die Gesamtzahl der Opfer noch die Höhe des gestohlenen Bitcoin offengelegt.
-
Was sollten BTCPay-Nutzer mit LND tun?
Sofort auf BTCPay Server Version 2.4.2 aktualisieren oder den Server bis zur Anwendung des Patches offline nehmen. Ein vollständiger Postmortem von BTCPay wird in den kommenden Tagen erwartet.
-
Hat das Bitcoin Red Team BTCPay vor dem Angriff gewarnt?
Ja. Die Mitglieder Craig Raw, Rob Hamilton, Calle und Evan Kaloudis legten die Schwachstelle gegenüber BTCPay offen, das sie und das weitere Red Team für die verantwortliche Offenlegung und Analyse würdigte.
CryptoSlate
CoinTelegraph
TheBlock