BTCPay Server forderte Betreiber zunächst auf, ihre Server während der Untersuchung mit dem Befehl ./btcpay-down.sh herunterzufahren. Anlass waren Meldungen über unbefugte Abzüge aus Hot Wallets. Später grenzte das Projekt den identifizierten Angriffsweg auf Installationen mit Version 2.4.1 oder älter ein. Dazu zählt auch Version 2.4.1, die am 23. Juli 2026 veröffentlicht wurde. Für die aktuelle Version 2.4.7 habe das Team keine glaubwürdigen Meldungen über geleerte Hot Wallets erhalten; Betreiber wurden zum Aktualisieren ihrer Software aufgefordert.
Mitgründer Nicolas Dorier zufolge gelang es Angreifern, sich mit Administratorrechten bei betroffenen Instanzen anzumelden. Wie sie sich den Zugang verschafften, sei jedoch noch ungeklärt. BTCPay Server hat weder die Zahl der betroffenen Server oder Betreiber noch die Höhe möglicher Verluste offengelegt. Auch technische Einzelheiten zum Angriff nannte das Projekt nicht. Betroffene wurden gebeten, Vorfallsinformationen und Serverprotokolle an das Sicherheitsteam zu senden. LunaNode und andere Hosting-Anbieter schalteten vorsorglich einige Instanzen ab.
Der Vorfall wurde weniger als drei Monate nach einer früheren Attacke bekannt, auf die BTCPay Server im August mit Einschränkungen beim Fernzugriff auf Lightning reagiert hatte. Die damalige Schwachstelle ermöglichte Angreifern den Zugriff auf LND-Zugangsdaten; ob sie mit den aktuellen Meldungen zusammenhängt, ist unklar. Die Untersuchung läuft weiter. Das Projekt hat weder die Rückgewinnung gestohlener Mittel noch einen Zeitplan für den Abschluss der Ermittlungen bekannt gegeben.
Risiken heißer Wallets
Neuen Berichten zufolge fanden Ermittler Spuren von Schwachstellen, die bereits vor dem August-Patch für Version 2.4.2 bestanden. Damit handelt es sich mindestens um den zweiten Vorfall innerhalb von drei Monaten, bei dem Gelder aus BTCPay-Installationen älter als 2.4.2 gestohlen wurden; ein Zusammenhang zwischen dem früheren Diebstahl von Lightning-Zugangsdaten und dem aktuellen Angriff ist jedoch nicht bestätigt. Das Projekt hat nicht mitgeteilt, ob der Vorfall mit der Notfallversion 2.4.7 zusammenhängt. Diese behob eine kritische und mehrere mittelschwere Schwachstellen, auf die Anthropic mit seinem Scanner für quelloffene Software aufmerksam gemacht hatte. BTCPay läuft auf den eigenen Servern der Händler; eine Hot Wallet ermöglicht es dem Server, Transaktionen automatisch zu signieren. Nicolas Dorier, der selbst Version 2.4.7 mit einer Hot Wallet betreibt, warnte davor, auf einem Server mehr aufzubewahren, als man zu verlieren bereit ist. Im früheren Vorfall im August hatten Unterstützer eine Prämie für zurückgeholte Gelder angeboten: 10 % der wiedererlangten Summe, höchstens jedoch 3 BTC. Die Berichte ordneten den Vorfall außerdem in ein breiteres Muster von Angriffen auf ungepatchte Infrastruktur ein und verwiesen darauf, dass Core Lightning kürzlich vor Angriffen auf nicht aktualisierte Knoten gewarnt hatte.