Zum Inhalt springen
Centoculus

Sicherheitswarnung · Kritisch

BTCPay Server: Angreifer leeren Hot Wallets auf veralteten Instanzen

· 3 Minuten Lesezeit · Centoculus Security Team

Bekannt seit · Angriffe bestätigt seit

Betroffen: Selbst gehostete BTCPay-Server-Instanzen mit älteren Versionen

Was ist passiert

Am 2. November 2026 warnte der Betreuer von BTCPay Server, dass Angreifer Hot Wallets auf Instanzen mit älteren Versionen leeren. Der Betreuer fordert alle Nutzer auf, die neueste Version zu installieren. Die Warnung beruht auf bereits stattfindenden Diebstählen, es handelt sich also um eine aktive Ausnutzung und nicht um ein theoretisches Risiko.

Der öffentliche Bericht nennt keine CVE, keinen betroffenen Versionsbereich und keine technischen Details des Angriffs. Genaue Versionsnummern und weitere Hinweise finden Sie in der Ankündigung des Betreuers und dem unten verlinkten Bericht.

Wer betroffen ist

  • Betreiber selbst gehosteter BTCPay-Server-Instanzen, die nicht auf der neuesten Version sind.
  • Besonders Instanzen, die eine Hot Wallet verwenden, also bei denen die privaten Schlüssel oder der Seed auf dem Server gespeichert sind, damit dieser Gelder senden kann.
  • Agenturen und Hoster, die BTCPay Server für Webshops ihrer Kunden betreiben, zum Beispiel als Zahlungs-Backend für ein Shopsystem.

Instanzen, die nur eine Watch-only-Wallet verwenden (keine privaten Schlüssel auf dem Server), halten auf dem Server selbst keine ausgebbaren Gelder, sollten aber dennoch aktualisiert werden.

Was Sie jetzt tun sollten

  1. Ermitteln Sie alle BTCPay-Server-Instanzen, die Sie oder Ihre Kunden betreiben, und notieren Sie die laufende Version (angezeigt in der Fußzeile der Weboberfläche und in den Servereinstellungen).
  2. Sichern Sie Konfiguration und Daten vor dem Update. Bei Docker-basierten Installationen gehören dazu die Umgebungseinstellungen und die Datenvolumes.
  3. Aktualisieren Sie auf die neueste Version. Bei der Standard-Docker-Installation geschieht dies über die Servereinstellungen in der Weboberfläche oder mit dem mitgelieferten Update-Skript. Verwenden Sie die für Ihre Installation dokumentierte Methode.
  4. Prüfen Sie nach dem Update, ob alle Container bzw. Dienste laufen, die Weboberfläche lädt und der Node synchronisiert ist.
  5. Kontrollieren Sie Saldo und Transaktionsverlauf jeder Hot Wallet. Wenn Gelder fehlen oder Sie ausgehende Transaktionen sehen, die Sie nicht veranlasst haben, sollten Sie Server und Wallet-Seed als kompromittiert betrachten.
  6. Falls eine Hot Wallet möglicherweise kompromittiert ist: Nutzen Sie sie nicht weiter, erstellen Sie auf einem vertrauenswürdigen System eine neue Wallet mit neuem Seed und übertragen Sie die verbleibenden Gelder dorthin. Verwenden Sie den alten Seed nicht erneut.
  7. Wenn der Server keine Gelder senden muss, erwägen Sie, Shops auf eine Watch-only-Wallet umzustellen, damit keine privaten Schlüssel auf dem Server liegen.
  8. Informieren Sie betroffene Kunden, wenn deren Shops oder Gelder betroffen sind.

So prüfen Sie, ob Sie betroffen waren

  • Vergleichen Sie die Version jeder Instanz mit der neuesten vom Betreuer veröffentlichten Version. Jede Instanz, die nicht auf der neuesten Version ist, sollte als gefährdet gelten.
  • Prüfen Sie ausgehende Transaktionen von Hot Wallets, sowohl in BTCPay Server als auch in einem Block-Explorer, auf Zahlungen, die Sie nicht zuordnen können.
  • Prüfen Sie die Benutzerliste, besonders die Administratoren, und entfernen Sie Konten, die Sie nicht kennen.
  • Prüfen Sie API-Schlüssel, verbundene Apps und Shop-Einstellungen auf Einträge oder Änderungen, die niemand in Ihrem Team vorgenommen hat, und widerrufen Sie alles Unbekannte.
  • Prüfen Sie die Logs von Server und Reverse Proxy auf ungewöhnliche Anmeldungen oder Zugriffe von unbekannten IP-Adressen rund um und vor dem 2. November 2026.

Quellen

Weitere Beiträge