BTCPay-Lücke aktiv ausgenutzt: Update allein reicht nicht

BTCPay Server, die selbst gehostete Zahlungssoftware, mit der Onlineshops Bitcoin annehmen können, warnte am 7. August 2026 vor einer Schwachstelle, die zu diesem Zeitpunkt bereits aktiv ausgenutzt wurde. Version 2.4.2, veröffentlicht am 8. August, schließt die Lücke. Wenn du noch eine ältere Version betreibst, riskierst du den Verlust deiner Guthaben.

Der Fehler steckte in der Authentifizierungsschicht der Greenfield API. Der Code prüfte, ob ein FIDO2-Sicherheitsschlüssel registriert war, statt zu prüfen, ob die Zwei-Faktor-Authentifizierung überhaupt aktiviert war. Wer eine gewöhnliche Authenticator-App nutzt, hat in der Regel keinen FIDO2-Schlüssel, und bei diesen Konten übersprang die API den zweiten Schritt vollständig. Eine E-Mail-Adresse und ein Passwort genügten.

Was bereits passiert ist

Die Lightning-Node der BTCPay Foundation selbst wurde leergeräumt, bevor die Warnung öffentlich wurde. Die Node von Citadel21, betrieben von Hodlonaut, wurde auf dieselbe Weise geleert. Mindestens ein weiterer Betreiber meldete denselben Vorfall. Eine Gesamtsumme wurde nicht genannt.

Entdeckt wurde die Lücke von Craig Raw, dem Entwickler hinter Sparrow Wallet, nachdem seine eigene Node kompromittiert worden war. Über die Serverprotokolle verfolgte er den Angriff zurück.

Aktualisieren ist der erste Schritt, nicht der letzte

Das ist der Teil, der am häufigsten schiefgeht, und er wiegt hier schwerer als das Update selbst. Die Zugangsdaten für deine Lightning-Node, die sogenannten Macaroons, liegen als Dateien auf der Festplatte. Ein Angreifer, der vor dem Patch drin war, kann sie kopiert haben. Sie funktionieren danach einfach weiter, denn daran ändert das Update nichts.

Nach den Anweisungen des Projekts musst du nach dem Update auch deine Lightning-Zugangsdaten austauschen: Lösche macaroons.db sowie alle Macaroon-Dateien und starte deine Node neu. Überweise außerdem das Guthaben deiner On-Chain-Hot-Wallet auf eine neue Wallet und stelle Anbindungen auf API-Schlüssel mit eingeschränktem Umfang statt auf Vollzugriff um. Der Patch deaktiviert Basic Authentication künftig standardmäßig, fünf Minuten nach dem Anlegen eines Kontos. Neben BTCPay selbst gibt es ein passendes Update für NBXplorer, Version 2.6.10.

Was das über automatisierte Tests aussagt

An dieser Geschichte hängt ein unangenehmes Detail. Das am 5. August abgeschlossene Audit des Bitcoin Red Team arbeitete sich in 27,5 Stunden durch 390 Open-Source-Projekte und lieferte 4.962 Befunde, davon 85 kritische. Diese Lücke war nicht dabei.

Das macht das Audit nicht wertlos, korrigiert aber den Eindruck, den eine solche Zahl erwecken kann. Automatisierte Suche findet die Muster, die sie kennt. Ein Logikfehler, bei dem die falsche Bedingung geprüft wird, bei dem der Code also genau das tut, was dort steht, dort aber das Falsche steht, entgeht ihr leicht. Gefunden wurde die Lücke am Ende von jemandem, der nach einem Diebstahl seine eigenen Protokolle durchforstete.

Was du davon hast

Betreibst du selbst eine BTCPay-Instanz, ist die Reihenfolge: zuerst über Admin Dashboard, Server, Maintenance, Update auf 2.4.2 aktualisieren und danach in der Fußzeile prüfen, ob dort tatsächlich 2.4.2 steht. Kannst du nicht sofort aktualisieren, nimm die Instanz offline, bis es geht.

Erneuere anschließend die Macaroons und verschiebe deine Hot Wallet. Lässt du diesen Schritt aus, hast du das Schloss ausgetauscht, aber den alten Schlüssel beim Vormieter gelassen.

Nutzt du kein BTCPay, betreibst aber einen Onlineshop, der Bitcoin annimmt, dann frag bei deinem Zahlungsdienstleister nach, welche Version dort läuft. Und die größere Lehre, die auch dann gilt, wenn du mit Lightning nichts zu tun hast: Nach einem Einbruch reicht es selten, das Passwort zu ändern. Sitzungstokens, API-Schlüssel und verknüpfte Geräte funktionieren weiter, bis du sie selbst widerrufst.

Quellen: BTCPay Server (Warnung vom 7. August 2026), Craig Raw (Sparrow Wallet), TechTimes (8. August 2026), Crypto Briefing. Zuletzt geprüft: 9. August 2026.