BTCPay Server-Prozess wird nach Diebstahl von Mitteln dringend aktualisiert

BTCPay Server ist in den Mittelpunkt eines Sicherheitsvorfalls geraten: Die Entwickler haben die Ausnutzung einer kritischen Schwachstelle bestätigt, durch die Angreifer Zugriff auf die Daten eines Teils der Benutzer erhielten und Mittel stehlen konnten.

Das Projektteam hat die Version 2.4.2 veröffentlicht und die Sicherheitslücke geschlossen. Alle früheren Versionen mit LND-Builds waren gefährdet. Die Entwickler forderten die Betreiber auf, das Update nicht aufzuschieben, insbesondere wenn ihre Infrastruktur das Lightning Network nutzt.

Die Schwachstelle ermöglichte es einem nicht autorisierten Angreifer, Dateien mit .macaroon-Anmeldeinformationen für LND abzurufen. Diese Implementierung des Lightning Networks wird häufig in Diensten verwendet, die Bitcoin-Zahlungen verarbeiten und helfen, Transaktionen über das Hauptnetz zu skalieren.

Wer sollte BTCPay Server zuerst aktualisieren

Die gestohlenen Anmeldeinformationen geben dem Angreifer die vollständige Kontrolle über den LND-Knoten. Danach kann er direkt Mittel von einem solchen Knoten abheben, was bei einigen Benutzern bereits geschehen ist.

"Wir haben bestätigt, dass Angreifer diese Schwachstelle ausgenutzt haben. Einige Benutzer wurden betroffen, Mittel wurden gestohlen. Details geben wir vorerst nicht bekannt, damit die Betreiber das Update rechtzeitig installieren können," erklärte das BTCPay Server-Team.

Das Risiko betrifft nur Konfigurationen mit LND. BTCPay Server kann Zahlungen im Hauptnetz Bitcoin akzeptieren und unterstützt das Lightning Network, aber Benutzer ohne Lightning sowie andere Konfigurationen des Lightning Networks sind laut den Entwicklern nicht von einem Datenleck betroffen. Dennoch rät das Team allen Betreibern, ein Update durchzuführen. Offizielle On-Chain-Wallets und Hot Wallets von BTCPay Server waren nicht betroffen.

Betreiber, die LND verwenden, müssen über das Administrationspanel auf BTCPay Server 2.4.2 und LND 0.21.1 umsteigen. Während des Updates werden die macaroon-Dateien automatisch neu erstellt. Wenn das Patchen nicht schnell möglich ist, empfehlen die Entwickler, die Server vorübergehend abzuschalten.

"Für LND-Betreiber ist es jetzt wichtig, schnell auf BTCPay Server 2.4.2 und LND 0.21.1 umzusteigen: Alte Builds gefährden die macaroon-Anmeldeinformationen und die Mittel auf dem Knoten."

Worauf LND-Benutzer achten sollten

Nach der Installation des Updates sollten die Knoteninhaber die Aktivitätsgeschichte überprüfen. Besonders wichtig sind unbekannte Verbindungen, unerwartete Kanalabschaltungen und Zahlungen, die der Benutzer selbst nicht gesendet hat.

Wie BTCPay Server funktioniert

BTCPay Server ist ein Open-Source-Zahlungsprozessor zur Annahme von Bitcoin-Zahlungen. Er verbindet den Shop, den POS-Punkt oder den direkten Zahlungslink mit der Wallet des Betreibers: Er erstellt Rechnungen, verfolgt Zahlungen im Bitcoin-Netzwerk oder über das Lightning Network und überträgt den Zahlungsstatus an den Shop über Integrationen, Plugins oder APIs.

BTCPay Server wird verwendet von:

• Online-Shops;
• E-Commerce-Projekten;
• Crowdfunding-Diensten;
• POS-Verkaufsstellen.

Der Dienst kann auch ohne Online-Shop genutzt werden – zum Beispiel, um Zahlungen direkt oder über POS zu akzeptieren. Für die Installation und Nutzung von BTCPay Server ist kein KYC erforderlich, und die grundlegende Einrichtung besteht normalerweise darin, den Code von GitHub herunterzuladen, ihn auf dem eigenen Server auszuführen und die Wallet und den Shop anzuschließen.

Schlüsselfunktionen von BTCPay Server:

• Erstellung von Rechnungen;
• Integration mit Shops;
• API-Unterstützung;
• Zahlungsberichte;
• Annahme von Zahlungen über POS.

In dieser Infrastruktur werden normalerweise eingesetzt:

• APIs;
• Plugins;
• Kryptowährungs-Wallets;
• Buchhaltungs-Module;
• der Quellcode von BTCPay Server auf GitHub.

BTCPay Server wird anstelle zentralisierter Prozessoren gewählt, wenn Dezentralisierung, Kontrolle über die Mittel, keine Verarbeitungsgebühren und offener Code wichtig sind. Die automatische Umwandlung von Kryptowährung in Fiat gehört nicht zu den grundlegenden Funktionen, daher werden solche Szenarien normalerweise separat aufgebaut.

Unterstützung und Schulungsmaterialien sind in der offiziellen Dokumentation von BTCPay Server, auf GitHub, in Foren und in den Gemeinschaften des Projekts zu finden.

Daher ist der Vorfall nicht nur für einzelne Betreiber wichtig, sondern auch für Teams, die eine Krypto-Zahlungsinfrastruktur auf Open-Source-Lösungen aufbauen und eigene Server bereitstellen.

Die Entwickler betonten zudem: Das Problem steht nicht im Zusammenhang mit der Central Processing Unit und betrifft nicht das Bitcoin-Protokoll selbst. Es handelt sich um eine Schwachstelle in den Werkzeugen, die um die Zahlungsinfrastruktur herum aufgebaut sind.

Ein weiterer Schlag gegen die Sicherheit von Bitcoin-Tools

Die Meldung über das Problem bei BTCPay Server fiel mit einem anderen großen Vorfall zusammen. Bei Galaxy Research wurde bestätigt, dass 1719 Bitcoin von Coldcard-Benutzern gestohlen wurden, was auf etwa 111 Millionen USD geschätzt wird. Analysten schätzen, dass nach Überprüfung aller Angriffsereignisse der Gesamtschaden 130 Millionen USD übersteigen könnte.

Beide Fälle betrafen nicht das zugrunde liegende Bitcoin-Protokoll. Schwachstellen wurden in Diensten und Geräten gefunden, die darüber arbeiten. Dies zeigt erneut, dass die Sicherheit der Krypto-Infrastruktur nicht nur vom Blockchain abhängt, sondern auch von der Qualität der Wallets, Knoten, Zahlungsmodulen und Server-Software.