BTCPay Server hat Betreiber am 1. November 2026 aufgefordert, ihre Server vorübergehend abzuschalten. Zuvor häuften sich Berichte über leergeräumte Hot Wallets – nach einer externen Analyse summiert sich der Schaden bislang auf rund 1,63 Mio. US-Dollar.
Das Wichtigste in Kürze
- BTCPay warnt vor abgezogenen Hot Wallets und rät Betreibern älterer Server zum vorübergehenden Abschalten.
- Eine externe Analyse zählt 682 Abflüsse über 18,38 BTC und 3.405 LTC zwischen 30. Oktober und 2. November 2026.
- Größtes Risiko: Der Einfallsweg ist unklar, und viele Händler fahren ihre Systeme selbst – ohne zentralen Notaus.
BTCPay nennt 2.4.1 oder älter als betroffenen Bereich
In der ersten Meldung sprach das Projekt von Versionen älter als 2.4.2, später grenzte es den Bereich auf 2.4.1 oder älter ein. Für die aktuelle Version 2.4.7 lägen keine glaubwürdigen Berichte über solche Abflüsse vor, schrieb BTCPay laut einem Bericht von CoinDesk. Das ist zunächst eine Selbsteinschätzung des Projekts, keine unabhängig bestätigte Entwarnung.
BTCPay ist ein Open-Source-System, mit dem Händler Bitcoin-Zahlungen selbst abwickeln. Wer es betreibt, verwaltet auch die Schlüssel – und damit das Guthaben. Genau diese Selbstverwahrung wird jetzt zum Problem: Es gibt keinen zentralen Schalter, mit dem ein Anbieter alle Installationen sperren könnte.
682 Abflüsse und 1,63 Millionen Dollar Schaden
Die Blockchain-Analysefirma Bitquery beziffert den bislang nachvollziehbaren Schaden auf 1.628.450 US-Dollar. Verteilt sind die Mittel auf 18,38 BTC und 3.405 LTC, abgezogen in 682 einzelnen Sweeps zwischen dem 30. Oktober und dem 2. November 2026. Sweep bedeutet: Die Angreifer leerten die Wallets in vielen kleinen Transaktionen statt in einer großen.
Das sind externe Zahlen, keine offizielle Bilanz von BTCPay. Das Projekt selbst nannte bislang keine Verlustsumme und keine Zahl betroffener Händler. Bitquery leitet aus den Update-Zeitpunkten ab, ein Server auf Version 2.4.1 oder älter sei mindestens 86 Tage ohne den Fix gelaufen – eine begründete Ableitung, keine Aussage von BTCPay.
Der Angreifer war als Administrator eingeloggt
Nach dem Vorfall schrieb BTCPay, auf betroffenen Systemen sei ein Angreifer als Administrator eingeloggt gewesen. Wie er diesen Zugang erlangte, ist weiter offen. Auch ob ein einzelner Angriffspfad oder mehrere Schwachstellen ausgenutzt wurden, hat das Projekt nicht abschließend rekonstruiert.
Wichtig für die Einordnung: Eine frühere Sicherheitsmeldung von BTCPay zu einem Vorfall aus dem Jahr 2026 betraf Versionen vor 2.4.2 und dort insbesondere LND, die Lightning-Implementierung. On-chain-Wallets einschließlich Hot Wallets waren von genau diesem Fehler laut BTCPay nicht betroffen. Ob der aktuelle Fall dieselbe Ursache hat, ist damit nicht geklärt.
Patches vor Features, Bounty für Wiederherstellung
BTCPay kündigte an, Sicherheits-Patches und Hardening künftig vor neuen Funktionen zu priorisieren. Nutzern rät das Projekt ausdrücklich, möglichst Cold Storage zu verwenden und nur kleine Beträge in Hot Wallets zu halten. Für die Wiederherstellung abgezogener Mittel setzt BTCPay eine Prämie von 10 Prozent der zurückgeholten Summe aus, maximal 3 BTC. Sicherheitsforscher sollen zusätzlich 0,21 BTC erhalten.
CoinDesk merkt kritisch an, dass die erste Warnung weder Verlustsumme noch Fix noch konkrete Version nannte. Das habe die Unsicherheit bei Betreibern vergrößert. Wer seine Wallet selbst verwahrt, sollte ohnehin einen Teil der Coins offline halten – passende Geräte findest du in unserem Hardware-Wallets im Vergleich 2026.
Was Händler jetzt konkret prüfen sollten
Erster Schritt: Version der eigenen Instanz feststellen. Läuft sie auf 2.4.1 oder älter, ist ein Update auf 2.4.7 dringend – BTCPay selbst hat das Herunterfahren bis zum Abschluss der Untersuchung empfohlen. Prüfe danach die Transaktionshistorie der Hot Wallet auf Abflüsse, die du nicht ausgelöst hast, besonders im Zeitraum 30. Oktober bis 2. November 2026.
Zweiter Schritt: Admin-Zugänge kontrollieren. Der Angreifer agierte laut BTCPay mit Administratorrechten, deshalb gehören Passwörter, Zwei-Faktor-Anmeldung und offene Sitzungen auf den Prüfstand. Wer größere Bestände für den Zahlungsverkehr hält, sollte den Puffer verkleinern und den Rest in Cold Storage verschieben.
Dritter Schritt: Wer Krypto über eine regulierte Börse kauft oder tauscht, sollte auf Lizenz und Gebühren achten – unser Kryptobörsen-Vergleich 2026 listet beides für den deutschen Markt.
Unsere Einschätzung
Was dafür spricht
- BTCPay hat schnell und öffentlich gewarnt und zum Abschalten geraten, statt den Vorfall kleinzureden.
- Für die aktuelle Version 2.4.7 liegen nach Angaben des Projekts keine glaubwürdigen Berichte über Abflüsse vor.
- Ein Update auf 2.4.7 ist für Betreiber ein konkreter, sofort umsetzbarer Schritt.
Was dagegen spricht
- Die erste Warnung nannte weder Verlustsumme noch Fix noch eine konkrete Version – das kostete Betreiber Zeit.
- Der Einfallsweg ist unklar; ob der aktuelle Fall mit dem früheren LND-Fehler zusammenhängt, ist nicht belegt.
- Ohne zentralen Notaus muss jeder Händler sein System selbst absichern – veraltete Instanzen bleiben ein offenes Tor.
- Die Schadenszahlen stammen von Bitquery, nicht von BTCPay; die Gesamtzahl der Opfer ist unbekannt.
Worauf du achten solltest
- Eigene BTCPay-Version prüfen: alles bis 2.4.1 gilt als betroffen, Update auf 2.4.7.
- Hot-Wallet-Bewegungen zwischen 30. Oktober und 2. November 2026 auf fremde Abflüsse kontrollieren.
- Admin-Zugänge und Zwei-Faktor-Anmeldung neu aufsetzen, solange der Einfallsweg ungeklärt ist.
- Offizielle BTCPay-Meldungen zur technischen Rekonstruktion und zu einer offiziellen Schadenssumme verfolgen.
Fazit
Der Fall zeigt, wie schnell aus einem Zahlungs-Tool ein Sicherheitsproblem für Händler wird – und wie wenig ein dezentrales System im Ernstfall zentral auffangen kann. Wer BTCPay betreibt, muss Version, Admin-Zugänge und Wallet-Bestände selbst im Blick haben; auf eine offizielle Entwarnung zu warten, ist riskant. Die Schadenszahlen von Bitquery sind eine externe Momentaufnahme, keine bestätigte Bilanz. Bis BTCPay den Einfallsweg aufklärt, gilt: so wenig Guthaben wie möglich in der Hot Wallet.
Hinterlasse jetzt einen Kommentar