Krypto-Kasse geplündert: Händler ohne Update verlieren ihre Coins
Angreifer leerten zwischen 30. Oktober und 2. November Hot Wallets auf BTCPay-Servern mit Version 2.4.1 oder älter; die Analysefirma Bitquery verfolgt bisher rund 1,63 Mio. $ in Bitcoin und Litecoin.
Eine Lücke, die seit August geschlossen ist, wurde Monate später bei Händlern ausgenutzt, die nicht aktualisiert hatten. Bei selbst betriebener Zahlungsinfrastruktur trägt der Händler das Risiko allein.
Was passiert ist
BTCPay Server ist eine quelloffene Software, mit der Händler Bitcoin-Zahlungen auf eigenen Servern annehmen, ohne Zahlungsdienstleister. Am 1. November gingen Meldungen ein, dass Bitcoin und Litecoin aus Hot Wallets verschwunden waren, also aus Wallets, deren Schlüssel auf dem Server liegen. Der erste bekannte Abfluss lief laut BTCPay um 13:46 Uhr UTC, die erste Meldung kam um 20:56 Uhr, um 22:25 Uhr forderte das Projekt alle Betreiber auf, ihre Server abzuschalten. Hoster wie LunaNode nahmen Instanzen vorsorglich vom Netz. Betroffen sind Version 2.4.1 und älter, geschlossen wurde die Lücke mit Version 2.4.2 am 7. August. Bitquery verfolgte 18,38 BTC und 3.405 LTC auf zwei Adressen in 682 Abbuchungen, rund 87 Prozent davon am 1. November. Etwa 267 Abbuchungen im Wert von rund 150.000 $ folgten noch nach der Warnung. BTCPay selbst nennt keine Schadenssumme, weil ein Teil der Bewegungen älter sein könnte. Einordnung: Die Bitquery-Zahl ist eine Untergrenze, andere Adressen und Lightning fehlen.
Was daraus folgt
Selbst betriebene Zahlungssoftware spart Gebühren, macht aber Updates zum Bilanzrisiko: Es gibt keine Börse, die haftet, und keinen Dienstleister, der erstattet. Laut BTCPay reicht ein Update allein nicht, wenn Angreifer schon Zugriff hatten; nötig sind neuer Server, neue Wallet und neue Zugangsdaten. Das kostet Zeit und Umsatz. Geld, dessen Schlüssel auf Hardware-Wallets außerhalb des Servers lagen, war nicht betroffen. Einordnung: Für Händler, die Krypto annehmen, wird die Frage, wie viel in der Hot Wallet liegt, zur Frage der Risikosteuerung wie bei Bargeld in der Kasse.
Was sich konkret ändert
- Händler
- Version prüfen: Bei 2.4.1 oder älter rät BTCPay zu neuem Server und neuer Wallet. Ein Update allein reicht nicht.
- Unternehmen
- In der Hot Wallet nur den Tagesbedarf halten, den Rest auf Wallets, deren Schlüssel nicht auf dem Server liegen.
- Kunden
- Gelder bei Händlern, deren Schlüssel nicht auf dem Server lagen, waren laut BTCPay nicht betroffen.
Worauf zu achten ist
- Offizielle Schadenssumme von BTCPay
- Weitere Adressen oder Lightning-Verluste in Analysen
- Wie viele Server noch alte Versionen nutzen
Quellen
- BTCPay Server: Security incident affecting BTCPay Server 2.4.1 and earlier
- Infosecurity Magazine: Hackers exploit BTCPay Server flaw to steal cryptocurrency
- The Hacker News: Hackers exploit BTCPay Server flaw to steal Bitcoin and Litecoin