BTCPay-Notfall: Kritische Lücke legt Lightning-Knoten lahm – Was geschah?

Die Woche ab dem 7. August 2026 war eine der schwersten Sicherheitskrisen in der Geschichte der Bitcoin-Infrastruktur. Am Freitag gab BTCPay Server – der quelloffene, selbst gehostete Bitcoin-Zahlungsprozessor, der von Tausenden von Händlern, Börsen und Wallet-Backends weltweit genutzt wird – bekannt, dass eine kritische Sicherheitslücke aktiv ausgenutzt wurde und Gelder aus Lightning-Netzwerk-Knoten abflossen . Der Vorfall ereignete sich nur wenige Tage nachdem ein separater Firmware-Fehler bei Coldcard-Hardware-Wallets bereits zu Diebstählen von über 116 Millionen Dollar in Bitcoin geführt hatte . Zusammen legten die beiden Ereignisse tiefgreifende Sicherheitslücken in der Bitcoin-Zahlungsschicht offen und lösten einen Notfall-Sicherheits-Audit aus, der Tausende weiterer Fehler im gesamten Ökosystem aufdeckte .

Dieser Artikel erläutert, was passiert ist, wer betroffen war, welche Notfallmaßnahmen Betreiber ergreifen mussten und wie die Sicherheitslage in dieser turbulenten Woche insgesamt aussah.

Die BTCPay-Server-Sicherheitslücke: Ein Logikfehler in der API-Authentifizierung

Der ausgenutzte Fehler in BTCPay Server war ein Logikfehler in der API-Authentifizierungsschicht der Greenfield-API, der Schnittstelle für externe Integratoren, automatisierte Systeme und Wallet-Backends . Entscheidend war, dass er es einem nicht authentifizierten Remote-Angreifer ermöglichte, LND .macaroon-Credential-Dateien zu stehlen – die Zugriffstokens, die Berechtigungen auf Lightning-Netzwerk-Knoten verwalten .

Sobald die Angreifer die Macaroon-Zugangsdaten erlangt hatten, konnten sie die vollständige Kontrolle über den verbundenen LND-Knoten übernehmen und dessen Kanalguthaben leeren . Die Sicherheitslücke wurde vom Bitcoin Red Team entdeckt und verantwortungsvoll offengelegt .

Wichtige Klarstellung: Dies war ein Fehler auf der Software-/Anwendungsebene. Das zugrunde liegende Bitcoin-Protokoll wurde nicht kompromittiert . Der Angriff zielte auf die Authentifizierungslogik des selbst gehosteten Zahlungsprozessors ab, nicht auf die Bitcoin-Blockchain oder das Lightning-Netzwerk-Protokoll selbst.

Wer war betroffen?

Die Sicherheitslücke betraf speziell Konfigurationen, die LND (Lightning Network Daemon) verwendeten, die am weitesten verbreitete Software für den Betrieb eines Lightning-Knotens .

• Händler, Börsen und Wallet-Backends, die BTCPay Server mit LND in einer Version vor 2.4.2, einschließlich der 2.4.2-Release-Kandidaten, betrieben
• Heiße On-Chain-Wallets, die in BTCPay generiert wurden, waren ebenfalls gefährdet, wenn ein Angreifer die vollständige Serverkontrolle erlangte
• Benutzer, die kein LND betrieben oder Lightning überhaupt nicht nutzten, waren dem Risiko des Credential-Diebstahls nicht ausgesetzt

Mehrere bekannte Bitcoin-Organisationen, die BTCPay betreiben, bestätigten, dass ihre Lightning-Knoten geleert worden waren. Foundation, ein Hersteller von Hardware-Wallets, und Citadel21, eine Bitcoin-Publikation, gehörten zu den bestätigten Opfern .

Notfallmaßnahmen für Betreiber

BTCPay Server und sein leitender Maintainer Nicolas Dorier gaben eine dringende Warnung mit zwei Geboten heraus :

1. Sofort aktualisieren – Upgrade auf BTCPay Server Version 2.4.2 über Admin Dashboard → Server → Maintenance → Update, und überprüfen Sie die Versionszeichenfolge in der Fußzeile .
2. Server herunterfahren, wenn ein sofortiges Update nicht möglich ist .

Zusätzlich wurde den Betreibern mitgeteilt, dass sie auch alle LND-Macaroon-Zugangsdaten widerrufen und neu generieren müssen, da das Patchen nur den neuen Credential-Diebstahl stoppte. Bereits während des Ausbeutungsfensters gestohlene Zugangsdaten blieben gültig und konnten weiterhin zum Abziehen von Geldern verwendet werden . Das Projekt empfahl außerdem, NBXplorer, das Wallet-Tracking-Backend von BTCPay, auf Version 2.6.10 zu aktualisieren .

Weitere Sicherheitsvorfälle in der Bitcoin-Zahlungsschicht in derselben Woche

Der BTCPay-Exploit war der zweite große Bitcoin-Infrastruktur-Sicherheitsvorfall innerhalb von etwa zehn Tagen. Beide ereigneten sich Ende Juli und Anfang August 2026 und sorgten in der Presse für Schlagzeilen über eine „Exploit-Woche“ für Bitcoin .

Coldcard-Hardware-Wallet-Firmware-Fehler (30. Juli – 3. August)

Eine kritische Sicherheitslücke in der Coldcard-Firmware Version 4.0.0, die seit März 2021 bestand, führte dazu, dass das Gerät seinen dedizierten Hardware-Zufallschip bei der Schlüsselgenerierung umging und stattdessen einen vorhersagbaren Software-Ersatz verwendete . Dies machte Seed-Phrasen für Angreifer enumerierbar.

Angreifer nutzten dies aus, um über 116 Millionen Dollar in Bitcoin von mehr als 5.200 Adressen in vier Diebstahlswellen zu stehlen, die am 30. Juli begannen . Galaxy Research verfolgte die On-Chain-Bewegungen und identifizierte mindestens 15 verschiedene Angreifer, die den Fehler ausnutzten . Die geschätzte Gesamtsumme der Diebstähle lag je nach Bewertungszeitpunkt zwischen 116 Millionen und über 130 Millionen Dollar .

Umfassendes automatisiertes Sicherheits-Audit (8. August)

Als direkte Reaktion auf die Coldcard- und BTCPay-Vorfälle startete eine Gruppe freiwilliger Bitcoin-Entwickler ein koordiniertes Sicherheits-Audit mit KI-Tools. Innerhalb von 24 Stunden identifizierten sie fast 5.000 Sicherheitslücken in rund 400 Projekten, wobei die Situation als „extrem schlecht“ beschrieben wurde . Die Ergebnisse umfassten 85 kritische und 635 schwerwiegende Fehler, von denen die meisten bereits von den Projektinhabern bestätigt wurden .

Wichtige Erkenntnisse für Bitcoin-Betreiber

1. Sofort patchen, wenn kritische Warnungen herausgegeben werden. Das BTCPay-Team war transparent bezüglich des aktiven Exploits, aber einige Betreiber verzögerten das Patchen, was zu bestätigten Verlusten führte .
2. Der Widerruf von Zugangsdaten ist oft genauso wichtig wie das Patchen. Ein Patch, der eine Sicherheitslücke schließt, macht bereits gestohlene Zugangsdaten nicht ungültig. Nach dem BTCPay-Update mussten die Betreiber dennoch alle LND-Macaroons widerrufen und neu generieren .
3. Die Sicherheit von Layer 2 hängt von der Sorgfalt der Layer-1-Betreiber ab. Obwohl das Lightning-Netzwerk-Protokoll selbst nicht kompromittiert wurde, zeigte die Offenlegung von Zugangsdaten über die BTCPay-API, dass Schwachstellen in selbst gehosteter Zahlungssoftware zu Geldverlusten für Lightning-Nutzer führen können .
4. Das Ökosystem auditiert sich selbst. Das von Freiwilligen durchgeführte KI-Sicherheits-Audit, das fast 5.000 Sicherheitslücken in 400 Projekten fand, zeigt sowohl das Ausmaß des Problems als auch die Bereitschaft der Gemeinschaft, es anzugehen .

Der BTCPay-Server-Vorfall und der parallele Coldcard-Exploit markieren einen Wendepunkt für die Sicherheit der Bitcoin-Infrastruktur. Die Ereignisse haben die Forderungen nach rigoroseren Code-Reviews, automatisierten Sicherheitstools und schnelleren Reaktionsprotokollen im gesamten Open-Source-Bitcoin-Ökosystem verstärkt.