Kritisk BTCPay-sårbarhed tømte Lightning-noder: Komplet gennemgang af August 2026-hændelsen og nødberedskabet

Denne artikel giver et detaljeret overblik over, hvad der skete, hvem der blev ramt, hvilke nødforanstaltninger operatører skulle tage, og det bredere sikkerhedslandskab i den tumultprægede uge.

BTCPay Server-sårbarheden: En logisk fejl i API-autentifikation

Den udnyttede fejl i BTCPay Server var en logisk fejl i API-autentifikationslaget i Greenfield API – grænsefladen, der bruges af eksterne integratorer, automatiserede systemer og wallet-backends . Afgørende var, at den tillod en uautoriseret fjernangriber at hente LND .macaroon-legitimationsfiler – de adgangstokens, der styrer tilladelser på Lightning Network-noder .

Når angriberne først havde fået fat i macaroon-legitimationsoplysningerne, kunne de tage fuld kontrol over den tilsluttede LND-node og tømme dens kanalsaldi . Sårbarheden blev opdaget og ansvarligt offentliggjort af Bitcoin Red Team .

Vigtig præcisering: Dette var en software-/applikationslagsfejl. Bitcoins underliggende protokol blev ikke kompromitteret . Angrebet målrettede betalingsprocessorernes autentifikationslogik, ikke Bitcoin-blockchainen eller Lightning Network-protokollen i sig selv.

Hvem blev ramt

Sårbarheden påvirkede specifikt konfigurationer, der brugte LND (Lightning Network Daemon), den mest udbredte software til at drive en Lightning-node .

• Handlende, børser og wallet-backends, der kørte BTCPay Server med LND på en hvilken som helst version før 2.4.2, inklusive 2.4.2 release candidates
• Hot on-chain wallets genereret i BTCPay var også i risiko, hvis en angriber opnåede fuld serverovertagelse
• Brugere, der ikke kørte LND eller slet ikke brugte Lightning, var ikke udsat for risikoen for credential-drain

Flere velkendte Bitcoin-organisationer, der kører BTCPay, bekræftede, at deres Lightning-noder var blevet tømt. Foundation, en producent af hardwarewallets, og Citadel21, en bitcoin-publikation, var blandt de bekræftede ofre .

Nødforanstaltninger krævet af operatører

BTCPay Server og dens ledende vedligeholder Nicolas Dorier udsendte en presserende vejledning med to påbud :

1. Opdatér straks – Opgrader til BTCPay Server version 2.4.2 via Admin Dashboard → Server → Maintenance → Update, og bekræft versionsstrengen i sidefoden .
2. Sluk serveren, hvis du ikke kan opdatere med det samme .

Derudover fik operatører besked på, at de også skulle tilbagekalde og genskabe alle LND-macaroon-legitimationsoplysninger, fordi patching kun stoppede ny credential-tyveri. Legitimationsoplysninger, der allerede var stjålet i exploit-vinduet, forblev gyldige og kunne stadig bruges til at dræne midler . Projektet anbefalede også at opgradere NBXplorer, BTCPay's wallet-tracking-backend, til version 2.6.10 .

Andre Bitcoin-betalingslagssikkerhedshændelser samme uge

BTCPay-exploiten var den anden store Bitcoin-infrastrukturhændelse inden for cirka ti dage. Begge fandt sted i slutningen af juli og begyndelsen af august 2026, hvilket skabte, hvad pressen kaldte Bitcoins "exploit-uge" .

Coldcard-hardwarewallet-firmwarefejl (30. juli – 3. august)

En kritisk sårbarhed i Coldcard firmware version 4.0.0, til stede siden marts 2021, fik enheden til at omgå sin dedikerede hardware-tilfældighedschip under nøglegenerering og i stedet bruge en forudsigelig softwareerstatning . Dette gjorde seed-fraser mulige for angribere at brute-force.

Angribere udnyttede dette til at stjæle over 116 millioner dollars i Bitcoin fra mere end 5.200 adresser på tværs af fire bølger af tyverier, der begyndte den 30. juli . Galaxy Research sporede on-chain-bevægelserne og identificerede mindst 15 forskellige angribere, der udnyttede fejlen . Det anslåede samlede beløb varierede fra 116 millioner dollars til over 130 millioner dollars afhængigt af værdiansættelsen på rapporteringstidspunktet .

Bredere automatiseret sikkerhedsrevision (8. august)

Som direkte reaktion på Coldcard- og BTCPay-hændelserne lancerede en frivillig gruppe af Bitcoin-udviklere en koordineret sikkerhedsrevision ved hjælp af AI-værktøjer. Inden for 24 timer identificerede de næsten 5.000 sikkerhedssårbarheder på tværs af cirka 400 projekter, hvor situationen blev beskrevet som "ekstremt slem" . Resultaterne omfattede 85 kritiske og 635 høj-alvorlige fejl, hvoraf de fleste allerede var bekræftet af projektejerne .

Vigtige pointer for Bitcoin-operatører

1. Patch straks, når kritiske advisories udsendes. BTCPay-teamet var åbne om den aktive exploit, men nogle operatører forsinkede patching, hvilket førte til bekræftede tab .
2. Tilbagekaldelse af legitimationsoplysninger er ofte lige så vigtig som patching. En patch, der lukker en sårbarhed, ugyldiggør ikke allerede stjålne legitimationsoplysninger. Efter BTCPay-opdateringen skulle operatører stadig tilbagekalde og genskabe alle LND-macaroons .
3. Layer-2-sikkerhed afhænger af layer-1-operatørens omhu. Selvom Lightning Network-protokollen i sig selv ikke blev kompromitteret, viste credential-eksponeringen gennem BTCPay's API, at svagheder i selv-hostet betalingssoftware kan kaskadere til tab af midler for Lightning-brugere .
4. Økosystemet reviderer sig selv. Den frivilligledede AI-sikkerhedsrevision, der fandt næsten 5.000 sårbarheder i 400 projekter, demonstrerer både problemets omfang og fællesskabets vilje til at adressere det .

BTCPay Server-hændelsen og den parallelle Coldcard-exploit repræsenterer et vendepunkt for Bitcoin-infrastruktursikkerhed. Begivenhederne har intensiveret opfordringerne til mere stringent kodegennemgang, automatiserede sikkerhedsværktøjer og hurtigere reaktionsprotokoller på tværs af det open source-baserede Bitcoin-økosystem.