Spät am Freitagabend begannen Angreifer, unbemerkt Lightning-Wallets auf BTCPay Server leerzuräumen, dem beliebten Open-Source-Zahlungsprozessor für Bitcoin. Zunächst fiel es niemandem auf: Die Eindringlinge verschafften sich über eine Lücke Zugang, die das Team erst Stunden später schloss.
Das Problem steckte in sogenannten Macaroon-Dateien — digitalen Ausweisen, die einer Software erlauben, einen Lightning-Knoten auf Basis von LND zu steuern, der verbreitetsten Node-Software überhaupt. Ein Fehler in BTCPay Server ermöglichte es, einen solchen Ausweis aus der Ferne zu erhalten, ganz ohne Passwort. Mit dieser Datei bekommt ein Angreifer dieselben Rechte wie der Betreiber des Knotens: Er kann ihn leeren, Kanäle schließen, über die Mittel verfügen, als wären es seine eigenen.
Mindestens zwei bekannte Namen der Bitcoin-Szene traf es. Beim Hardware-Wallet-Hersteller Foundation wurde der Lightning-Knoten leergeräumt, während der Cold-Storage-Bestand unangetastet blieb. Das Magazin Citadel21 verlor ebenfalls den Inhalt seines Knotens, hielt dort aber ohnehin nur wenig. Wie viel Bitcoin insgesamt verschwunden ist und wie viele Nutzer betroffen sind, hat BTCPay noch nicht mitgeteilt — ein ausführlicher Bericht soll in den kommenden Tagen folgen.
Der Patch erschien als Version 2.4.2, und BTCPay rät jedem LND-Betreiber hinter seiner Software dringend, sofort zu aktualisieren oder den Server vom Netz zu nehmen. Ein Detail, das viele übersehen dürften: Das Update allein reicht nicht. Gestohlene Macaroon-Dateien funktionieren auch nach dem Update weiter, sodass ein Angreifer, der bereits eine besitzt, zurückkehren kann, wenn die Zugangsdaten selbst nicht erneuert werden.
Gemeldet wurde die Lücke von Bitcoin Red Team, einer Freiwilligengruppe mit Craig Raw, Rob Hamilton, Calle und Evan Kaloudis — demselben Team, das wenige Tage zuvor mit Hilfe von KI Tausende kleinere Fehler im Bitcoin-Code selbst aufgespürt hatte. Diesmal war das Risiko nicht theoretisch: Echte Coins verließen echte Wallets, und Bitcoins Zahlungsschicht wurde innerhalb eines Monats zum zweiten Mal daran erinnert, dass ihre Infrastruktur schneller wächst, als sie abgesichert werden kann.
