BTCPay Server: Kritische Lücke ermöglichte Bitcoin-Diebstahl
Veröffentlicht am: 10.08.2026 um 00:33 Uhr | Redaktion boerse-global.de
Der Open-Source-Zahlungsanbieter BTCPay Server hat eine kritische Sicherheitslücke geschlossen. Angreifer nutzten sie aktiv aus, um Guthaben aus Lightning-Nodes zu stehlen.
API-Lücke erlaubt Zugriff auf Zugangsdaten
Die Schwachstelle steckt in der Greenfield API in Verbindung mit der Basis-Authentifizierung. Angreifer erbeuteten dabei Macaroon-Dateien – die digitalen Schlüssel für Transaktionen im Lightning-Netzwerk. Damit erlangten sie Remote-Zugriff auf die LND-Lightning-Nodes der Nutzer und zogen die dort hinterlegten Bitcoin-Guthaben ab.
Betroffen waren unter anderem die BTCPay Server Foundation und das Projekt Citadel21. Beide meldeten finanzielle Verluste. Die Entwickler reagierten mit Version 2.4.2 und leiten eine automatische Rotation der betroffenen Zugangsdaten ein.
Doch das Update allein reicht womöglich nicht. Experten raten Nutzern, sicherzustellen, dass sämtliche Macaroon-Credentials tatsächlich erneuert wurden. Sonst droht weiterer Missbrauch.
Betrugswelle im Zuge der Krypto-Regulierung
Der Vorfall trifft einen Markt in Aufruhr. Seit Anfang Juli wichtige MiCA-Fristen der EU-Krypto-Verordnung abliefen, häufen sich gezielte Täuschungsmanöver. Betrüger geben sich vermehrt als offizielle EU-Regulierer aus und fordern unter dem Vorwand der Identitätsprüfung sensible Daten.
Wer sich mit neuen regulatorischen Anforderungen wie der EU-KI-Verordnung befasst, benötigt einen klaren Überblick über Pflichten und Fristen. Dieser kostenlose Umsetzungsleitfaden verschafft Ihnen die nötige Orientierung für Ihre Rechts- und IT-Abteilung. EU AI Act in 5 Schritten verstehen
Die Folgen sind dramatisch: Die Fälle von Identitätsdiebstahl im Krypto-Sektor sind massiv gestiegen, ebenso die durchschnittlichen Schadenssummen. Das offizielle Register der ESMA listet derzeit 322 autorisierte Dienstleister in 26 Mitgliedstaaten. Die vielen Neuregistrierungen der letzten Monate machen es Verbrauchern zunehmend schwer, Seriöses von Betrug zu unterscheiden.
Automatisierte Angriffe, sorglose Nutzer
Ein weiterer Treiber: Bots. Branchenberichte zeigen, dass automatisierte Angriffe deutlich zugenommen haben. Mehr als ein Viertel davon zielt gezielt auf APIs – wie im aktuellen BTCPay-Fall. Im Finanzsektor gehen fast die Hälfte aller Kontoübernahmen auf solche Bot-Attacken zurück.
Dazu kommt eine problematische Selbstüberschätzung der Nutzer. Der Cybersicherheitsmonitor des BSI aus dem Frühjahr zeigt: Fast die Hälfte der Befragten traut sich zu, KI-generierte Fälschungen zu erkennen – doch ein Drittel ergreift keinerlei konkrete Prüfmaßnahmen. Bei Krypto-Investitionen locken Betrüger ihre Opfer oft über herkömmliche Internetwerbung in die Falle.
Angesichts steigender Cyberrisiken und neuer gesetzlicher Vorgaben müssen Unternehmen ihre IT-Sicherheit proaktiv verstärken. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Cyber-Security-Report jetzt kostenlos herunterladen
Haftungsfragen erreichen die Justiz
Derweil beschäftigen Sicherheitsvorfälle im digitalen Zahlungsverkehr zunehmend die Gerichte. Das Oberlandesgericht Brandenburg entschied in einem aktuellen Verfahren: Banken trifft bei Phishing-Angriffen ein Mitverschulden, wenn keine starke Kundenauthentifizierung implementiert ist oder Warnhinweise vor bekannten Betrugsmaschen fehlen.
Ob diese Grundsätze künftig auch auf Krypto-Zahlungsdienstleister übertragen werden, bleibt offen. BTCPay-Nutzer sollten jedenfalls sofort handeln: System aktualisieren, Lightning-Kanäle prüfen. Der Gesamtschaden des aktuellen Exploits ist bislang nicht beziffert.
