BTCPay Server ist eine selbst gehostete Zahlungslösung, mit der Unternehmen Bitcoin und andere digitale Werte direkt in eigene Wallets annehmen können, ohne Zwischenhändler oder Plattformgebühren. Die Software verarbeitet Checkout-Rechnungen und Zahlungsprüfung, auch über das Lightning Network.

Am frühen Montag erklärte der Maintainer, man habe „einen Angriffsvektor identifiziert, der auf Instanzen mit Version 2.4.1 (23. Juli 2026) oder älter abzielt". BTCPay-Gründer Nicolas Dorier sagte, die Angriffe hätten sich nicht gegen öffentlich erreichbare Server gerichtet. Die Untersuchung konzentriert sich darauf, wie sich der Angreifer bei Instanzen mit Versionen älter als 2.4.2 als Administrator anmelden konnte.

Am 29. Oktober hatte das Projekt eine kritische Schwachstelle offengelegt, die über Anthropics Frontier-OSS-Scanner entdeckt worden war; sie führte zur Veröffentlichung von Version 2.4.7 als Notfall-Sicherheitsupdate. Dorier zufolge gibt es jedoch Hinweise darauf, dass der Angreifer Schwachstellen in Versionen vor 2.4.2 ausnutzte, die am 7. August erschienen war – das Projekt bestätigte dies später.

„Unsere Incident-Response-Untersuchung hat einen Angriffsvektor identifiziert, der auf Instanzen mit Version 2.4.1 (23. Juli 2026) oder älter abzielt", heißt es von BTCPay Server. „Uns liegen keine glaubwürdigen Berichte über geleerte Hot Wallets bei Nutzern vor, die das aktuelle Release 2.4.7 einsetzen. Wir fordern erneut alle dazu auf, ihren BTCPay Server aktuell zu halten."

Erste Diebstahlsmeldungen erreichten das Projekt am gestrigen Abend (UTC). Daraufhin bat es VPS-Hosting-Anbieter vorsorglich darum, betroffene Server-Instanzen offline zu nehmen, um Kunden zu schützen. In einer Sicherheitswarnung erklärte der Maintainer, man betreue derzeit betroffene Nutzer und erhalte weiterhin Vorfallsmeldungen. Wer durch die Angriffe Geld verloren hat, soll Details an security@btcpayserver.org senden und die Verluste bei den örtlichen Behörden anzeigen.

Das Update auf 2.4.7 lässt sich über Server Settings → Maintenance → Update einspielen. Für Docker-Installationen empfiehlt das Projekt folgendes Vorgehen:

  • per SSH anmelden
  • sudo su - ausführen
  • mit cd btcpayserver-docker in das Deployment-Verzeichnis wechseln
  • ./btcpay-update.sh starten

Wer noch 2.4.1 oder älter betreibt, soll die Instanz schnellstmöglich offline nehmen.