BTCPay-Server Hot-Wallet-Diebstähle

Zwischen dem 30. Oktober und dem 2. November 2026 leerten Angreifer die Hot Wallets von Händlern, die veraltete BTCPay-Server-Installationen betrieben, und erbeuteten etwa 1,6 Millionen US-Dollar — rund 18,38 BTC und 3.405 LTC — in einer Kampagne aus 682 kleinen automatisierten Abzügen gegen selbstgehostete Zahlungsserver.

Was geschah

BTCPay Server ist quelloffene, selbstgehostete Software, mit der Händler Bitcoin- und Lightning-Zahlungen direkt in ihre eigenen Hot Wallets annehmen. BTCPay erklärte, die Angriffe hätten „Server mit BTCPay Server 2.4.1 (veröffentlicht am 23. Juli 2026) oder älter" ins Visier genommen, und meldete keine glaubwürdigen Abzüge beim aktuellen Release 2.4.7. Das Projekt hat nicht offengelegt, welche Lücke dem Dieb genau den Admin-Zugriff verschaffte; der Hauptentwickler verwies auf „Spuren, dass Pre-2.4.2-Schwachstellen genutzt wurden", und ein kritischer Fehler vom August 2026 — behoben in Version 2.4.2 am 7. August — hatte unauthentifizierten Angreifern erlaubt, LND-Lightning-Anmeldedaten abzugreifen.

Laut Bitquery-Untersuchung erfolgte der erste sichtbare Abzug am 30. Oktober um 08:22 UTC, und 87 % der Mittel bewegten sich in einer einzigen Welle am 1. November zwischen 14:12 und 22:16 UTC. BTCPay veröffentlichte seine öffentliche Warnung um 22:25 Uhr am 1. November — etwa 62 Stunden nach dem ersten Diebstahl — doch 267 weitere Abzüge im Wert von rund 150.000 USD folgten bis zum Morgen des 2. November. Von insgesamt 682 Abzügen lagen etwa die Hälfte unter 100 USD, während 32 Abzüge von 10.000 USD oder mehr 77 % des Werts ausmachten. BTCPay nannte eine Bitcoin-Sammeladresse (bc1p0f7wm…) und eine Litecoin-Adresse (ltc1qp49tm…); zum 2. November lag die Beute größtenteils unbewegt in frischen Auszahlungsadressen, ohne beobachtete Börsen-Auszahlung.

Folgen

• BTCPay forderte jeden Betreiber auf, die gesamte Maschine und alle darauf gespeicherten Geheimnisse als kompromittiert zu behandeln, auf einem frischen Server mit einem brandneuen Wallet-Seed neu aufzubauen und nur operative Mittel im Hot Storage zu halten.
• Den Betreibern wurde gesagt, dass Patchen allein nicht ausreicht: Angreifer könnten über gestohlene Zugangsdaten Zugriff behalten, weshalb das Rotieren von API-Schlüsseln, Admin-Passwörtern und die Aktivierung von 2FA empfohlen wurde.
• Version 2.4.7 hatte zuvor ein kritisches und mehrere mittelschwere Probleme behoben, die durch automatisierte Open-Source-Sicherheitsscans aufgedeckt worden waren.
• Es wurde keine Angreiferidentität festgestellt, und die Zahl der betroffenen Server bleibt unbekannt; Bitquerys Summen sind eine Untergrenze, die nur die genannten Wallets abdeckt.

Warum es wichtig ist

Der BTCPay-Vorfall ist ein Diebstahl auf der Infrastrukturebene und kein Smart-Contract-Exploit: Die Mittel wurden nicht durch das Brechen eines Protokolls entwendet, sondern durch die Kompromittierung der selbstgehosteten Software, die sie verwahrte. Er spiegelt ein wiederkehrendes Muster von 2026 wider, bei dem operative und Server-Kompromittierungen — nicht Vertragsfehler — Verwahrverluste antreiben, wie beim Gamdom-Servereinbruch und dem Mercado-Bitcoin-Hot-Wallet-Vorfall. Es ist auch eine scharfe Lektion in Patch-Latenz: Der Fix war 86 Tage zuvor erschienen, doch Hunderte Betreiber liefen weiter mit verwundbaren Versionen, und die lange Reihe von Abzügen unter 100 USD zeigt, wie Angreifer selbst winzige Händlerguthaben methodisch abschöpfen, sobald der Admin-Zugriff in der Hand ist.