BTCPay Server meldet Hot-Wallet-Diebstähle von alten Instanzen
Das BTCPay-Server-Projekt meldet seit gestern Abend (UTC) Diebstähle aus Hot Wallets von Instanzen mit älteren Versionen. Nach Angaben des Projekts zielt der derzeit untersuchte Angriffsweg auf BTCPay Server 2.4.1 oder ältere Versionen. Betreiber sollen betroffene Instanzen abschalten und auf Version 2.4.7 aktualisieren.
Der Maintainer erhielt laut eigener Mitteilung zunächst Berichte über unbefugte Bitcoin- und Litecoin-Zahlungen. BTCPay-Gründer Nicolas Dorier sagte, die Angriffe hätten keine öffentlichen Server betroffen. Die Untersuchung konzentriert sich darauf, wie sich der Angreifer bei Instanzen mit Versionen vor 2.4.2 als Administrator anmelden konnte.
Am 29. Oktober hatte das Projekt nach Angaben der Quelle eine kritische Schwachstelle veröffentlicht, die der Frontier-OSS-Scanner von Anthropic entdeckt hatte. Daraufhin erschien Version 2.4.7 als Notfall-Sicherheitsupdate. Das Projekt erklärte, es gebe keine glaubwürdigen Berichte über geleerte Hot Wallets bei Nutzern der aktuellen Version 2.4.7.
Betreiber von Version 2.4.1 oder älter sollen die Instanz laut BTCPay so schnell wie möglich offline nehmen. Die Aktualisierung auf Version 2.4.7 erfolgt in den Server-Einstellungen unter „Maintenance“ und „Update“. Bei Docker-Installationen nennt das Projekt den SSH-Befehl „./btcpay-update.sh“ im Bereitstellungsverzeichnis als Update-Schritt.
Das BTCPay-Projekt bearbeitet weiterhin Fälle betroffener Nutzer und erhält weitere Vorfallmeldungen. Nutzer, die Geld verloren haben, sollen dem Projekt Details an [email protected] senden und den Verlust den örtlichen Behörden melden.