Bitcoin erneut im Visier: Hacker plündern Lightning-Nodes

Für Bitcoin ist es eine schwierige Woche. Diesmal haben Hacker eine gravierende Sicherheitslücke in Software ausgenutzt, die für Zahlungen über das Lightning Network verwendet wird.

Die Angreifer nutzten am Freitag eine Schwachstelle in BTCPay Server aus, einer Software, mit der unter anderem Onlineshops und Unternehmen Zahlungen in Bitcoin annehmen können. Über die Lücke konnten sie Zugriff auf bestimmte Lightning-Nodes erlangen und die dort liegenden Bitcoin abziehen.

BTCPay bestätigt, dass tatsächlich BTC gestohlen wurden. Wie viele Nutzer betroffen sind und wie viel Bitcoin insgesamt erbeutet wurde, ist bislang nicht bekannt. Nutzer der anfälligen Software werden dringend aufgefordert, sofort auf Version 2.4.2 zu aktualisieren oder ihren Server vorübergehend vom Netz zu nehmen.

So konnten Hacker Bitcoin stehlen

Die Sicherheitslücke betrifft Installationen von BTCPay Server, die LND verwenden, eine verbreitete Software zum Betrieb einer Node im Lightning Network.

Über Lightning können Nutzer Bitcoin schneller und günstiger versenden. Unternehmen setzen BTCPay Server etwa ein, um solche Bitcoin-Zahlungen direkt von Kunden zu erhalten.

Die Schwachstelle verschaffte Angreifern Zugriff auf sogenannte Macaroon-Dateien. Sie lassen sich am ehesten als digitale Zugangsschlüssel für eine Lightning-Node beschreiben. Normalerweise legen diese Dateien fest, wer Zugriff erhält und welche Aktionen ausgeführt werden dürfen.

Hacker konnten diese Dateien über die Lücke erlangen, ohne sich zuvor anmelden zu müssen. Mit den gestohlenen Zugangsschlüsseln konnten sie anschließend die Kontrolle über betroffene LND-Nodes übernehmen und die dort vorhandenen Bitcoin abziehen.

Nicht alle Bitcoin innerhalb von BTCPay sind gefährdet. Gewöhnliche Hotwallets, die direkt in BTCPay angelegt wurden, sind nach Angaben des Projekts von dieser Schwachstelle nicht betroffen. Bitcoin, die in der Wallet einer betroffenen LND-Node liegen, können dagegen gestohlen werden.

Erste Unternehmen melden gestohlene Bitcoin

Inzwischen haben sich die ersten Opfer gemeldet. Dazu gehört Foundation, ein Hersteller von Hardware-Wallets. Nach Angaben von Firmenchef Zach Herbert gelang es Hackern in der Nacht, die Lightning-Node des Unternehmens leerzuräumen. Dabei schlossen sie die Lightning-Kanäle und überwiesen die vorhandenen Bitcoin.

Die gewöhnliche Bitcoin-Hotwallet von Foundation innerhalb von BTCPay blieb unangetastet. Das bestätigt, dass sich der Angriff gezielt gegen die anfällige LND-Installation richtete.

Auch die Bitcoin-Publikation Citadel21 wurde getroffen. Angreifer räumten auch dort die Lightning-Node leer, nach Angaben der Organisation befand sich zu diesem Zeitpunkt jedoch nur ein kleiner Betrag darauf.

Wie hoch der Gesamtschaden ist, bleibt vorerst unklar. BTCPay hat noch nicht mitgeteilt, wie viele Nutzer betroffen sind oder wie viel Bitcoin insgesamt gestohlen wurde.

Lücke war bereits vor den Angriffen entdeckt worden

Auffällig ist, dass die Sicherheitslücke bereits an BTCPay gemeldet worden war, bevor bekannt wurde, dass Hacker sie aktiv ausnutzten.

Entdeckt wurde die Schwachstelle von Mitgliedern des Bitcoin Red Team. Die Entwicklergruppe setzt KI-Modelle ein, um in großem Umfang nach Sicherheitsproblemen in Bitcoin-bezogener Software zu suchen. Allein in dieser Woche meldete die Gruppe bereits Tausende mögliche Schwachstellen bei Hunderten Projekten.

Den Angreifern gelang es dennoch rechtzeitig, die Schwachstelle tatsächlich auszunutzen. Als BTCPay die Nutzer öffentlich warnte, wurden anfällige Server bereits angegriffen und Bitcoin waren gestohlen worden.

Die vollständigen technischen Details werden deshalb vorerst nicht veröffentlicht. BTCPay will Administratoren zunächst die Möglichkeit geben, ihre Systeme zu aktualisieren und abzusichern. In den kommenden Tagen soll ein ausführlicherer Bericht folgen, der voraussichtlich auch mehr Klarheit über das Ausmaß und die Folgen des Angriffs bringt.