BTCPay Server warnt vor leergeräumten Hot Wallets

Unbekannte haben die Hot Wallets mehrerer BTCPay Server geleert. Das Projekt hinter der quelloffenen Bitcoin-Zahlungssoftware rief am Sonntagabend alle Betreiber auf, ihre Server abzuschalten. Betroffen sind nach dem Stand der Untersuchung Installationen in Version 2.4.1 oder älter. Wie viel gestohlen wurde, ist nicht bekannt.

BTCPay Server ist eine Software, mit der Händler Bitcoin-Zahlungen ohne Zahlungsdienstleister annehmen; sie läuft auf einem eigenen Server des Händlers oder bei einem Hoster. Wer dort eine Hot Wallet einrichtet, legt den Schlüssel zu seinen Coins auf denselben Server, damit die Software Auszahlungen und Rückerstattungen selbst signieren kann.

BTCPay ruft in der Nacht zum Abschalten auf

Am Sonntag um 23:25 Uhr MEZ schrieb das Projekt auf X: “We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.” Es lägen also Berichte vor, dass Unbefugte Hot Wallets auf BTCPay-Servern leerräumen. Wer eine Instanz betreibe, solle sie mit dem Befehl ./btcpay-down.sh herunterfahren, bis die Untersuchung abgeschlossen sei.

Gründer Nicolas Dorier ergänzte rund zwei Stunden später, die eigenen öffentlichen Server in Version 2.4.7 seien nicht angegriffen worden. Die Meldungen beträfen offenbar Fassungen vor 2.4.2. Der Angreifer habe sich auf diesen Instanzen als Administrator angemeldet, wie, wisse man noch nicht.

Um 5:07 Uhr am Montag folgte die nächste Mitteilung. Die Untersuchung habe einen Angriffsweg gefunden, der Instanzen in Version 2.4.1 vom 23. Juli oder älter trifft, für die aktuelle Version 2.4.7 gebe es keine glaubwürdigen Berichte über geleerte Wallets. Betroffene sollen Einzelheiten und Logdateien an das Sicherheitsteam schicken. Hoster wie LunaNode haben ältere Instanzen ihrer Kunden nach Angaben des Projekts bereits selbst abgeschaltet.

Version 2.4.2 hatte schon im August eine ausgenutzte Lücke geschlossen

Die Fassung 2.4.2 erschien am 7. August. In ihren Versionshinweisen steht, sie behebe “a critical vulnerability that is being actively exploited”, dazu eine Umgehung der Zwei-Faktor-Anmeldung. Damals hatten Angreifer nach Angaben von Cointelegraph Zugangsdateien von Lightning-Knoten abgegriffen und deren Guthaben abgezogen. Ob der jetzt gefundene Angriffsweg mit einer dieser Lücken zusammenhängt, hat BTCPay nicht gesagt.

Seitdem sind fünf weitere Versionen erschienen, zuletzt 2.4.7 am 29. Oktober mit Korrekturen für 85 Funde aus einer Sicherheitsprüfung.

Wer die Updates nicht eingespielt hat, betreibt seit drei Monaten Software mit bekannten Schwachstellen.

Händler mit eigenem Server müssen jetzt handeln

Gefährdet sind die Guthaben der Betreiber, die in der Hot Wallet auf ihrem Server liegen. Das Projekt rät, ältere Instanzen abzuschalten und auf 2.4.7 zu aktualisieren; ein Blick in die Wallet auf unerklärliche Abgänge gehört dazu. Liegt der Schlüssel nicht auf dem Server, gibt es dort nichts abzuziehen, doch wer als Administrator angemeldet ist, kann auch Einstellungen des Shops ändern.

Für BTCPay ist es der zweite Fall binnen drei Monaten, in dem Angreifer Guthaben von Betreibern abziehen, und das in einer Woche, in der der Hack bei Binance die Frage nach der Sicherheit von Hot Wallets ohnehin aufgeworfen hat. Wie angreifbar selbst betriebene Bitcoin-Infrastruktur ist, zeigte im September auch eine Lücke in der Lightning-Software Eclair.

Eine Schadenssumme oder die Zahl der betroffenen Server hat BTCPay bis Montagmorgen nicht genannt.