Diebstähle bei selbstgehosteten LNbits-Lightning-Wallets

Am 10. November 2026 veröffentlichte LNbits — eine weit verbreitete, selbstgehostete Bitcoin-Lightning-Wallet-Plattform — eine Notfallversion (Version 1.7.0), nachdem eine Angriffswelle Gelder aus eigenständig betriebenen Installationen abgezogen hatte, und forderte Betreiber weltweit auf, ihre Server herunterzufahren, während die insgesamt gestohlene Summe unbekannt blieb.

Was geschah

LNbits ist Open-Source-Software, mit der jeder seine eigene Lightning-Wallet sowie Händler-Checkout-, Trinkgeld- und Paywall-Dienste betreiben kann; der Entwickler schätzte im Mai 2026, dass sie etwa 200.000 Menschen selbst betreiben. Am Sonntag, dem 8. November, warnte das Projekt die Betreiber, seine Paywall-Erweiterung zu deaktivieren, während es einen vermuteten Fehler untersuchte, und forderte die Nutzer etwa eine Stunde später auf, ihre LNbits-Server sofort herunterzufahren, unter Verweis auf eine aktive Angriffswelle gegen selbstgehostete Instanzen. LNbits erklärte, die Schwachstelle betreffe alle Versionen vor 1.7.0 und setze Wallet-Gelder dem Diebstahlrisiko aus; zudem nahm das Projekt seine eigenen gehosteten Installationen offline. Die technische Grundursache wurde zunächst nicht veröffentlicht; ein gesonderter Bericht zum Exploit wurde angekündigt. Es wurde keine Gesamtverlustsumme genannt; ein Betreiber, Kevin Ravensberg, berichtete, dass Angreifer über neu erstellte Konten etwa 2,3 Millionen Satoshi (~0,023 BTC) von seiner Instanz abhoben, bevor er reagieren konnte.

Konsequenzen

Patchen allein reichte nicht: LNbits warnte, dass ein Update Installationen nicht schütze, deren Zugangsdaten bereits kompromittiert worden seien, und riet den Betreibern, Wallet-Schlüssel zurückzusetzen, Zugangsdaten der Finanzierungsquelle zu ersetzen, alle in den Einstellungen gespeicherten Geheimnisse als kompromittiert zu behandeln und bei Verdacht auf einen Einbruch zu einem neuen Server zu migrieren. Das volle Ausmaß — wie viele der rund 200.000 selbstgehosteten Instanzen betroffen waren und wie viel Bitcoin entwendet wurde — war zum Redaktionszeitpunkt nicht beziffert, und es wurden keine Angreiferadressen oder Transaktions-Hashes veröffentlicht.

Warum es wichtig ist

Der Vorfall spiegelt die Reihe von Kompromittierungen selbstgehosteter Infrastruktur im Katalog wider, bei denen die Schwachstelle in betreibereigener Software und nicht in einem On-Chain-Vertrag liegt — am unmittelbarsten die BTCPay Server-Hot-Wallet-Diebstähle einige Wochen zuvor. Bei Hunderttausenden eigenständigen Installationen wird ein einzelner serverseitiger Fehler zum flächendeckenden Notfall, und da viele Betreiber echte Nutzerguthaben verwahren, lässt sich die Reichweite zentral unmöglich messen. Es ist eine Erinnerung daran, dass Lightnings Selbstverwahrungs-Ethos die Sicherheitslast auf Betreiber verlagert, die selbst patchen, Geheimnisse rotieren und überwachen müssen.