BTCPay Server hat Nutzern empfohlen, ihre selbst gehostete Kryptowährungs-Zahlungssoftware zu aktualisieren, nachdem Berichte eingegangen waren, dass Angreifer Bitcoin und Litecoin aus Hot wallets auf älteren Instanzen gestohlen hatten. Die Untersuchung des Projekts ergab, dass sich die Angriffe gegen Server mit Version 2.4.1 oder älter richteten.
Die Sicherheitslücke wurde in Version 2.4.2 behoben, die am 7. August 2026 veröffentlicht wurde. BTCPay Server empfiehlt Nutzern von Version 2.4.1 oder älter, auf einen neuen Server umzuziehen und eine neue Wallet zu erstellen, selbst wenn sie keinen Diebstahl festgestellt haben. Wer unbefugten Zugriff vermutet, sollte den Rechner und alle darauf gespeicherten Geheimnisse als kompromittiert betrachten und dieselben Wiederherstellungsschritte befolgen.
Es ist nicht bekannt, wann die Angreifer begannen, die Sicherheitslücke auszunutzen. Berichte über die Aktivitäten tauchten etwa am 1. November 2026 auf. BTCPay Server erklärte, keine glaubwürdigen Berichte über das Leeren von Hot Wallets von Nutzern erhalten zu haben, die Version 2.4.7 verwenden. Diese behebt eine kritische und mehrere mittelschwere Sicherheitslücken, die durch den OSS-Scanner von Anthropic identifiziert wurden.
Das Projekt empfahl Nutzern, die für den täglichen Betrieb eine Hot Wallet benötigen, außerdem, nur die erforderlichen Mittel auf dem Server zu belassen und die übrigen Vermögenswerte in einer Wallet aufzubewahren, deren Ausgabeschlüssel an einem anderen Ort verwahrt werden. Von Hosting-Anbietern verwaltete Instanzen wurden möglicherweise automatisch heruntergefahren, um zu verhindern, dass ältere Versionen ausgenutzt werden.
Quellen: The Hacker News.