Bitcoin: BTCPay-Server unter Beschuss
Das Projekt rät Nutzern veralteter Installationen zum Update; Ausmaß und mögliche Bitcoin-Verluste sind noch nicht bekannt.

Kurz zusammengefasst
- Angriff zielt auf Version 2.4.1 oder älter
- Aktuelle Version 2.4.7 ohne glaubwürdige Diebstahlmeldungen
- Umfang und Bitcoin-Abfluss bleiben ungeklärt
- Untersuchung des Projekts dauert an
Ein Angriff auf Händler-Software sorgt am Wochenende für Unruhe im Bitcoin-Ökosystem. Das Open-Source-Projekt BTCPay Server forderte Betreiber am Sonntag auf, ihre Instanzen sofort abzuschalten. Angreifer sollen Hot Wallets leergeräumt haben, die an die Server gekoppelt sind.
Was bekannt ist
BTCPay ist ein kostenloses Werkzeug, mit dem Unternehmen Bitcoin-Zahlungen annehmen. Die Meldung des Projekts kam am Sonntagabend (US-Ostküstenzeit). Gründer Nicolas Dorier erklärte rund zwei Stunden später, betroffen seien offenbar ältere Versionen. Die Angreifer hätten sich mit Administratorrechten auf den Servern eingeloggt.
Später präzisierte das Projekt: Der Angriffsvektor zielt auf Instanzen mit Version 2.4.1 oder älter. Für Nutzer der aktuellen Version 2.4.7 liegen demnach keine glaubwürdigen Berichte über Diebstähle vor. Mehrere Hosting-Anbieter, darunter LunaNode, schalteten veraltete Instanzen automatisch ab. Wie viele Server betroffen sind und wie viel Bitcoin abfloss, ist bislang offen.
Hot Wallets als Schwachstelle
Die Software läuft selbst gehostet. Einen zentralen Betreiber, der Instanzen abschalten könnte, gibt es deshalb nicht. Händler können eine Hot Wallet nutzen, bei der der Seed auf dem internetverbundenen Server liegt, damit Transaktionen automatisch signiert werden. Die eigene Dokumentation warnt bei dieser Funktion ausdrücklich vor Sicherheitsrisiken.
Der Zeitpunkt wirft Fragen auf. Erst am Donnerstag hatte BTCPay mit Version 2.4.7 ein Notfall-Update veröffentlicht. Es schloss eine kritische und mehrere mittelschwere Lücken, auf die ein KI-gestützter Scanner von Anthropic aufmerksam gemacht hatte. Ob die aktuellen Angriffe eine dieser Lücken ausnutzen, ist unklar.
Es ist nicht der erste Vorfall in diesem Jahr. Schon im August warnte das Projekt vor einer aktiv ausgenutzten kritischen Schwachstelle in Versionen vor 2.4.2. Unterstützer legten damals ein Kopfgeld auf zurückgegebene Gelder aus, zehn Prozent der Beute, gedeckelt bei 3 Bitcoin.
Verwahrung rückt in den Blick
Der Vorfall trifft auf eine ohnehin laufende Debatte. Nach dem Hack bei Binance mahnt Roman Przibylla, CEO von Bitcoin Suisse (Europe), Anleger sollten ihre Verwahrung kritisch prüfen. Der einfache Marktzugang sage wenig über die Qualität der Aufbewahrung aus. Handel und Verwahrung könnten zudem getrennt erfolgen.
Für Händler mit älteren BTCPay-Versionen ist die Lage konkret: Sie müssen auf 2.4.7 aktualisieren, Betroffene sollen Details und Logs an das Sicherheitsteam des Projekts schicken. Dessen Untersuchung läuft weiter.
Stand heute, 2. November: Bitcoin – Kaufen, halten oder verkaufen?
Wer in Bitcoin investiert ist oder einen Einstieg prüft, sollte die Lage jetzt neu bewerten. Die Gratis-Analyse vom 2. November gibt die klare Antwort – und zeigt, warum Abwarten gerade jetzt riskanter sein kann, als es wirkt.