Bitcoin: BTCPay Server schließt kritischen Bug nach Wallet-Diebstahl
Nach dem Diebstahl aus mehreren Lightning-Wallets hat BTCPay Server ein kritisches Notfall-Update veröffentlicht.
Der Open-Source-Zahlungsdienstleister BTCPay Server hat die Version 2.4.2 veröffentlicht, um eine schwerwiegende Sicherheitslücke zu schließen. Zuvor hatten Angreifer einen Fehler im System ausgenutzt, um unauthentifizierten Zugriff zu erlangen und die Lightning-Wallets mehrerer Händler leerzuräumen.
Schwachstelle in den LND-Zugriffsdaten
Das Problem lag in der fehlerhaften Verwaltung sogenannter Macaroon-Dateien. Diese fungieren innerhalb des Lightning Network Daemon (LND) als digitale Schlüssel für Zugriffsberechtigungen.
Durch den fehlerhaften Fernzugriff konnten die Hacker weitreichende Befehle an die betroffenen Nodes senden. Wenn solche Zertifikate in falsche Hände geraten, können Angreifer Transaktionen ausführen, die vom Betreiber nie autorisiert wurden.
Kopfgeld für gestohlene Bitcoin
Um die entwendeten Mittel zumindest teilweise zurückzuerlangen, haben Unterstützer des Projekts ein Kopfgeld ausgelobt. Der Angreifer darf zehn Prozent der Beute behalten, sofern er die restlichen Coins zurückgibt.
Die maximale Belohnung ist dabei auf drei BTC gedeckelt. Beim aktuellen Marktkurs entspricht dies einer Summe von rund 190.000 US-Dollar.
Infrastruktur-Problem statt Protokoll-Fehler
Experten betonen, dass es sich bei diesem Vorfall nicht um einen Fehler im Kernprotokoll der größten Kryptowährung handelt. Die zugrunde liegende Blockchain von Bitcoin ist von dem Exploit völlig unberührt.
Vielmehr handelt es sich um ein lokales Sicherheitsproblem auf den Servern von Nutzern, die ihre eigene Zahlungsinfrastruktur betreiben. Händler, die eine solche selbstverwaltete Lösung nutzen, müssen ihre Systeme umgehend auf die neueste Version aktualisieren, um weitere Verluste zu verhindern.
