Die Betreiber des Projekts BTCPay Server, einem Open-Source-Zahlungsabwickler für Kryptowährungen, haben eine dringende Sicherheitswarnung an die Nutzer der Plattform herausgegeben, nachdem eine Reihe von Angriffen beobachtet wurde, die darauf abzielten, "Hot Wallets" zu leeren, die mit Servern verbunden sind, auf denen ältere Versionen der Software laufen.
Details zur Sicherheitslücke
Nicolas Dorier, der Gründer des Projekts, bestätigte, dass Untersuchungen einen Angriffsvektor aufgedeckt haben, der gezielt Versionen vor 2.4.2 betrifft, bei denen Angreifer Administratorrechte auf diesen Servern erlangen konnten. Eine kritische Schwachstelle wurde zuvor durch das Scan-Tool Frontier OSS von Anthropic entdeckt, was das Team dazu veranlasste, das Notfall-Sicherheitsupdate 2.4.7 zu veröffentlichen.
Das Team wies darauf hin, dass sich die Angriffe nicht gegen öffentliche Server richteten, sondern sich auf selbst gehostete Instanzen konzentrierten, die nicht aktualisiert wurden. Bisher gibt es keine verifizierten Berichte über Kompromittierungen bei Benutzern, die auf Version 2.4.7 aktualisiert haben.
Was müssen Benutzer tun?
Das Projekt betonte die Notwendigkeit sofortiger Maßnahmen zum Schutz digitaler Vermögenswerte, insbesondere für Benutzer, die noch Version 2.4.1 oder älter verwenden:
- Sofortiges Update: Alle Betreiber müssen über die Servereinstellungen (Server Settings → Maintenance → Update) auf Version 2.4.7 aktualisieren.
- Server stoppen: Es wird dringend empfohlen, betroffene Server als Vorsichtsmaßnahme sofort herunterzufahren, bis der Aktualisierungsprozess abgeschlossen ist.
- Für Docker-Benutzer: Das Update kann durch Zugriff auf den Server via SSH, Wechsel in das Installationsverzeichnis (btcpayserver-docker) und Ausführung des Update-Befehls (./btcpay-update.sh) durchgeführt werden.
Warum ist diese Nachricht wichtig?
Die Bedeutung dieser Warnung liegt in der Natur von BTCPay Server als selbst gehostete Zahlungslösung; der Benutzer trägt die volle Verantwortung für die Sicherheit seines Servers und seiner digitalen Vermögenswerte ohne Zwischenhändler. Die Ausnutzung von Administrator-Zugriffsschwachstellen bedeutet, dass Angreifer die volle Kontrolle über Zahlungsabwicklungen und deren Verifizierung erlangen können, was die Gelder von Händlern und Benutzern direkt gefährdet. Das Team hat Betroffene gebeten, Details zu Vorfällen an ihre Sicherheits-E-Mail-Adresse (security@btcpayserver.org) zu senden und den Verlust von Geldern den lokalen Behörden zu melden.