BTCPay-Server unter Angriff: LND-Betreiber müssen jetzt handeln

Der Open-Source-Zahlungsdienstleister BTCPay Server hat vor einer kritischen Sicherheitslücke gewarnt, die aktiv ausgenutzt wurde. Betreiber selbst gehosteter Bitcoin-Lightning-Nodes mit LND sollten umgehend handeln: Das Update auf Version 2.4.2 soll die Lücke schließen. Wenn ein Update nicht sofort möglich ist, empfiehlt das Projekt, den Server vorübergehend herunterzufahren.

Sicherheitslücke bei LND-Instanzen

Die Schwachstelle betraf BTCPay-Installationen mit LND, einer Software zum Betrieb von Lightning-Nodes. Nach Angaben von CoinDesk konnten nicht authentifizierte Angreifer auf .macaroon-Dateien zugreifen. Diese Zugangsdaten erlauben es Software, mit einem LND-Lightning-Knoten zu interagieren.

Mit den kompromittierten Zugangsdaten konnten Angreifer die Kontrolle über betroffene Knoten übernehmen, Lightning-Kanäle schließen und Guthaben bewegen. Das Bitcoin Red Team, eine ehrenamtliche Sicherheitsgruppe, hatte die Schwachstelle nach Angaben von BTCPay verantwortungsvoll gemeldet und bei der Analyse unterstützt. Als die öffentliche Warnung veröffentlicht wurde, wurde die Lücke bereits gegen Live-Server ausgenutzt.

Neben dem Update riet BTCPay dazu, die Dateien macaroons und macaroons.db zu erneuern, Authentifizierungs-Strings zurückzusetzen und Guthaben zu verschieben, sofern sie in einer mit BTCPay erzeugten Hot Wallet liegen. Die standardmäßigen On-Chain-Wallets von BTCPay sind laut Projekt nicht von diesem Credential-Leck betroffen. Guthaben im On-Chain-Wallet von LND können jedoch gefährdet sein, weil sie unter dem kompromittierten Lightning-Knoten liegen.

Bekannte betroffene Lightning-Nodes

Mindestens zwei Fälle wurden öffentlich bekannt. Zach Herbert, Chief Executive von Foundation, berichtete, dass der BTCPay-Lightning-Knoten des Unternehmens über Nacht leergeräumt worden sei. Dabei seien Kanäle geschlossen und Guthaben abgezogen worden; das On-Chain-Hot-Wallet von BTCPay sei unberührt geblieben.

Auch Citadel 21 meldete, dass Guthaben seines Lightning-Knotens abgezogen wurden. Der pseudonyme Bitcoin-Kommentator Hodlonaut, der das Portal betreibt, bezeichnete den Angriff als offenbar gezielt. Im Zusammenhang mit dem jüngsten Coldcard-Exploit traf es damit erneut Infrastruktur, die von Bitcoin-Enthusiasten und Hardcore-Nutzern verwendet wird.

Was Betreiber jetzt tun sollten

Der Vorfall zeigt die Risiken selbst gehosteter Zahlungsinfrastruktur. Für Betreiber von BTCPay-Servern mit LND hat die Absicherung betroffener Systeme daher Priorität.

• System aktualisieren: Im Admin-Dashboard unter „Server“ > „Wartung“ > „Aktualisieren“ Version 2.4.2 auswählen und die Versionsangabe prüfen.
• Server abschalten: Falls ein sofortiges Update nicht möglich ist, den BTCPay Server herunterfahren, um unbefugten Zugriff zu verhindern.
• Zugangsdaten erneuern: Macaroons und Authentifizierungs-Tokens zurücksetzen sowie vorhandene Lightning-Guthaben absichern.

BTCPay hat noch keine technischen Einzelheiten zur Schwachstelle veröffentlicht, damit Betreiber Zeit zum Einspielen des Updates haben. Eine vollständige technische Untersuchung beziehungsweise ein Postmortem soll in den kommenden Tagen folgen.

Auf Google News folgen

Jetzt abonnieren