BTCPay Server, der quelloffene, selbst gehostete Bitcoin-Zahlungsabwickler, hat bestätigt, dass Angreifer Kryptowährungen aus Hot Wallets gestohlen haben, auf denen veraltete Softwareversionen liefen. Das Blockchain-Analyseunternehmen Bitquery verfolgte gestohlene Gelder im Wert von rund 1,62 Millionen US-Dollar – 18,38 BTC und 3.405 LTC – über 682 separate Abhebungen hinweg, die meisten davon am 1. November 2026.
Laut dem offiziellen Vorfallsbericht von BTCPay Server richteten sich die Angriffe gegen Server mit Version 2.4.1 oder älter. Die Angreifer nutzten eine Schwachstelle aus, die bereits in Version 2.4.2 behoben worden war, die am 7. August 2026 veröffentlicht wurde. Dabei gingen sie anders vor als in der Sicherheitswarnung vom August beschrieben. Erste Berichte über die Diebstähle tauchten um den 1. November auf. Am selben Tag warnte BTCPay Server die Betreiber auf X, ihre Server herunterzufahren, während das Unternehmen den Vorfall untersuchte.
Bitquery stellte fest, dass 87 % der gestohlenen Gelder am 1. November in einer einzigen Welle zwischen 14:12 und 22:16 UTC transferiert wurden. Etwa 77 % stammten aus 32 Transfers von jeweils mindestens 10.000 $, während ungefähr die Hälfte aller Transfers unter 100 $ lag. Der früheste von Bitquery zurückverfolgte Transfer fand am frühen 30. Oktober statt, weniger als einen Tag nach der Veröffentlichung von Version 2.4.7 durch BTCPay Server. Die Litecoin-Transfers begannen am 1. November; die Bitcoin-Welle setzte innerhalb einer Stunde ein.
BTCPay Server erklärte, dass ihm keine glaubwürdigen Berichte über Abflüsse aus Hot Wallets von Nutzern vorliegen, die die aktuelle Version 2.4.7 verwenden. Das Projekt forderte alle, die noch Version 2.4.1 oder älter nutzen, dazu auf, auf einen neuen Server mit einer neuen Wallet umzuziehen – auch wenn kein Diebstahl bemerkt wurde –, da eine Aktualisierung allein einem Angreifer bereits erlangte Zugriffsrechte nicht entziehen kann. Guthaben in Wallets, deren Ausgabeschlüssel außerhalb des Servers aufbewahrt werden, darunter Hardware-Wallets, waren nicht betroffen.
Das Projekt veröffentlichte zwei mit dem Vorfall in Verbindung stehende Zieladressen und riet betroffenen Nutzern, Diebstähle seinem Sicherheitsteam und den örtlichen Behörden zu melden. Außerdem empfahl es, nur die für den täglichen Betrieb benötigten Mittel in einer Hot Wallet aufzubewahren und den Rest in eine Wallet zu übertragen, deren Schlüssel offline verwahrt werden.
Dies ist keine Finanzberatung. Informieren Sie sich selbst, bevor Sie eine Anlageentscheidung treffen.