Da BTCPay selbst gehostet wird, liegt die Verantwortung für das Herunterfahren eindeutig bei den Besitzern der einzelnen Server. Laut seiner Dokumentation ist die Hot-Wallet-Funktionalität Geschäfte den Seed direkt auf dem Server für die Transaktionssignierung zu speichern und ermöglicht schnelle Auszahlungen, ohne sich auf externe Hardware verlassen zu müssen. Leider hat diese Bequemlichkeit Hot-Wallets viel anfälliger gemacht als Cold Storage.
Hot Wallets sind besonders anfällig, weil ihre privaten Schlüssel auf internetverbundenen Systemen gespeichert werden und daher von Angreifern zugänglich sind, die die zugrunde liegende Infrastruktur kompromittieren. Im Gegensatz zu Cold Wallets, die Signierschlüssel offline speichern, priorisieren Hot Wallets die Bequemlichkeit und ermöglichen es Händlern, Transaktionen schneller abzuwickeln.
Für Unternehmen, die BTCPay Server nutzen, um Bitcoin-Zahlungen anzunehmen, könnte ein kompromittiertes Hot Wallet Mittel freilegen, die für Händlerabrechnungen oder Kundentransaktionen bestimmt waren. Die neueste Warnung wirft daher die Frage auf, wie Betreiber die Bequemlichkeit von Zahlungen mit der Notwendigkeit abwägen können, private Schlüssel vor unbefugtem Zugriff zu schützen.
In Bezug auf den Vorfall riet Samson Mow, CEO von JAN3, einem $BTC-Technologieunternehmen: „Ich denke, es sollte Priorität haben, SamRock dazu zu bringen, so schnell wie möglich mit Indra zusammenzuarbeiten, damit BTCPay-Nutzer direkt an Aqua Bitcoin senden und regelmäßig in Cold Storage umtauschen können.“
Dieses Alert folgt unmittelbar auf zwei weitere Sicherheitsvorfälle im Zusammenhang mit dem Projekt. Bereits vor wenigen Tagen, am 29. Oktober, veröffentlichte BTCPay ein Notfall-Update (v.2.4.7), um diese Schwachstelle und andere zu beheben.
Im August griffen Angreifer auch ausnutzten eine weitere Sicherheitslücke aus, was zum Diebstahl von Lightning Network-Schlüsseln und zur Leerung mehrerer zugehöriger Nodes führte, darunter auch einer Node der Foundation, des Herstellers von Hardware-Wallets. BTCPay hatte seinen Nutzern jedoch versichert, dass sie in Bezug auf ihre Standard-On-Chain-Wallets und integrierten Hot Wallets vor diesem Angriff geschützt waren.
Trotzdem bat es die Nutzer, ihre Server auf Version 2.4 zu aktualisieren oder ihre BTCPay-Server-Instanzen zumindest vorübergehend zu deaktivieren, bis dies möglich war, um das Risiko eines unbefugten Zugriffs zu verringern.
Bis die Untersuchung abgeschlossen ist, müssen Betreiber möglicherweise ihre Serveraktivitäten, Wallet-Guthaben und Transaktionshistorien auf verdächtige Bewegungen überprüfen. Personen, die vermuten, dass ihre Hot Wallets kompromittiert wurden, sollten die Verwendung potenziell exponierter Signierschlüssel nicht fortsetzen.
Der Vorfall zeigt auch, warum Backups sicher aufbewahrt werden müssen und große Bitcoin-Bestände offline statt in mit der Zahlungsinfrastruktur verbundenen Wallets gehalten werden sollten.
Coldcard wurde im August angegriffen
Im August wurde Coldcard, ein beliebter Hersteller von reinen Bitcoin-Wallets, ebenfalls von einem Exploit getroffen, der bisher zu bestätigten Verlusten von mindestens 116 Millionen US-Dollar geführt hat. Laut Ido Ben-Natan, CEO von Blockaid, offenbarte der Vorfall bei Coldcard eine grundlegende Schwäche in der Krypto-Welt: die Abhängigkeit von privaten Schlüsseln, die zu einem Single Point of Lieferausfällen.
Natan sagte: „Es handelt sich um eine einmalige Art des Zugriffs auf diese Dinge. Das Schöne daran ist, dass niemand anders darauf zugreifen kann. Der Nachteil dabei ist jedoch, dass es ein Single Point of Failure ist.“
Er fuhr fort: „Die Lehre daraus ist, dass es keine Lösung ist, seine Assets irgendwo liegen zu lassen und sie zu vergessen oder nicht mehr daran zu denken, da sich das Sicherheitsumfeld ständig weiterentwickelt. Man muss entweder ständig paranoid sein oder diesen Entscheidungsprozess an jemand anderen auslagern.“
Die Ursache des Exploits war ein schwerwiegender Fehler in der Firmware, der die Korruption des Wallet-Seedings auf Coldcard-Geräten ermöglichte. Dadurch wurde der für die Erstellung sicherer Wallets notwendige Zufallsfaktor entfernt, sodass Angreifer die privaten Schlüssel berechnen und diese Wallets von Bitcoin leeren konnten. Laut Angaben der Forschungsfirma K33 waren mehr als 7.000 Adressen betroffen.
Im Durchschnitt entfielen im ersten Halbjahr 2026 fast drei Viertel der aus Crypto-Exploits gestohlenen Gelder auf private Key-Breach-Vorfälle.
cryptopolitan.com
