Alby-Hub-Sicherheitslücke: So prüfst du, ob deine Bitcoin-Lightning-Node aus dem Internet erreichbar ist

Wer einen eigenen Knoten im Lightning-Netzwerk mit der Software Alby Hub betreibt, hat seit dem 9. September 2026 eine konkrete Aufgabe: die Versionsnummer nachsehen. Steht dort eine Fassung zwischen v1.7.0 und v1.18.5, und ist die Verwaltungsoberfläche aus dem offenen Internet erreichbar, kann ein Angreifer nach Darstellung des Anbieters unbefugt Zugriff erlangen und Guthaben abziehen. Die Antwort auf die Kernfrage steht damit gleich am Anfang: Version prüfen, den Zugang aus dem Netz schließen, auf v1.24.0 aktualisieren und danach das Entsperr-Passwort wechseln.

Alles Weitere in diesem Text beantwortet die Fragen, die sich daran anschließen. Wen betrifft der Fehler wirklich, woran erkennst du, dass deine Installation nie angreifbar war, und warum ist die Korrektur älter als die Warnung, die jetzt durch die Fachpresse geht.

Was Alby Hub ist und wer diese Software überhaupt betreibt

Alby Hub ist eine Software, mit der du selbst einen Knoten im Lightning-Netzwerk betreibst. Das Lightning-Netzwerk ist eine Zahlungsschicht, die auf Bitcoin aufsetzt und kleine Beträge nahezu sofort und mit sehr niedrigen Gebühren überträgt, indem zwei Teilnehmer einen Zahlungskanal öffnen und nur dessen Eröffnung und Schließung in der Blockchain festhalten. Ein Knoten ist in diesem Bild der Rechner, der solche Kanäle offen hält und Zahlungen weiterleitet.

Der Unterschied zu einer gewöhnlichen Wallet-App ist für diesen Fall entscheidend. Eine App auf dem Handy verbindet sich mit einem fremden Dienst und hat keine eigene Adresse im Netz. Alby Hub dagegen ist ein Programm, das dauerhaft läuft, auf einem kleinen Rechner zu Hause, auf einem gemieteten Server oder als Anwendung auf dem Schreibtisch-Computer. Und ein Programm, das dauerhaft läuft, hat eine Bedienoberfläche, über die es verwaltet wird.

Genau diese Bedienoberfläche steht im Zentrum der Meldung vom 9. September. Betroffen sind also Leute, die ihre Bitcoin-Zahlungen selbst abwickeln statt sie abwickeln zu lassen. Für die von Alby gehostete Variante berichtet keine der Meldungen einen Fall.

Welche Alby-Hub-Versionen betroffen sind: v1.7.0 bis v1.18.5

Der Anbieter hat den Fehler als kritisch eingestuft und den betroffenen Bereich klar abgegrenzt: Es sind die Fassungen v1.7.0 bis einschließlich v1.18.5, sämtlich Veröffentlichungen aus der Zeit vor August 2025. Ab der 1.19er-Reihe ist der Fehler behoben. Bestätigt betroffen ist nach den bisherigen Meldungen ein einziger Nutzer.

Eine CVE-Nummer, also die international einheitliche Kennung für eine Schwachstelle, taucht in den Meldungen vom 9. September nicht auf. Der Anbieter hat angekündigt, die technischen Einzelheiten später nachzureichen, wie es bei verantwortungsvoller Offenlegung üblich ist: Erst sollen möglichst viele Betreiber aktualisiert haben, dann wird beschrieben, wie der Angriff genau funktioniert. Für dich heißt das, dass du die Bewertung des Anbieters vorerst nicht selbst nachrechnen kannst. Die Handlungsempfehlung hängt davon aber nicht ab.

Ein Punkt, der in der Aufregung gern untergeht: Die Versionsspanne allein entscheidet nicht. Eine alte Fassung auf einem Rechner, der ausschließlich im eigenen Heimnetz erreichbar ist, war nach der Beschreibung des Anbieters nie angreifbar. Die Versionsnummer ist die eine Hälfte der Prüfung, die Erreichbarkeit die andere.

Warum nur eine öffentlich erreichbare Management-API angreifbar ist

Die Management-API ist die Schnittstelle, über die Alby Hub verwaltet wird: Kanäle öffnen, Zahlungen auslösen, Zugänge für Apps vergeben. Eine Programmierschnittstelle dieser Art ist im Kern eine Adresse, die Befehle entgegennimmt. Liegt sie hinter der Haustür des eigenen Netzes, kommt nur heran, wer ohnehin im Netz ist. Liegt sie offen im Internet, kommt jeder heran, der die Adresse kennt oder findet.

Nach der Darstellung des Anbieters wird der Fehler erst in dieser zweiten Lage ausnutzbar. Wer seinen Knoten also bewusst von außen erreichbar gemacht hat, etwa um ihn unterwegs vom Handy aus zu bedienen, gehört zur gefährdeten Gruppe. Wer ihn nur im Heimnetz bedient, gehört es nicht.

Diese Unterscheidung ist der Grund, warum die erste empfohlene Maßnahme nicht das Update ist, sondern das Zusperren. Ein Update braucht ein paar Minuten und im Zweifel einen Neustart. Den Zugang aus dem Internet zu nehmen, dauert einen Handgriff im Router und wirkt sofort.

Alby-Hub-Version prüfen: Wo die Nummer steht und was sie dir sagt

Die Oberfläche von Alby Hub führt eine Informationsseite, auf der neben der Version auch das verwendete Node-Backend steht; die Veröffentlichungsnotizen zu v1.24.0 nennen genau diese Seite. Dort liest du die Zeichenfolge ab und vergleichst sie mit der Spanne oben. Alles unterhalb von 1.19 gehört aktualisiert, unabhängig davon, ob dein Knoten je von außen erreichbar war.

Hast du keinen Zugriff auf die Oberfläche, hilft der Weg über die Installation selbst: Der Dateiname des heruntergeladenen Pakets trägt die Version, und bei einer Installation über einen Container steht sie im verwendeten Abbild. Führt keiner dieser Wege zu einem eindeutigen Ergebnis, behandelst du die Installation wie eine betroffene und aktualisierst.

Die Prüfung in der richtigen Reihenfolge

Zuerst die Erreichbarkeit, dann die Version, dann das Update. Diese Reihenfolge ist kein Formalismus. Wer zuerst aktualisiert, lässt den Zugang während des Downloads und des Neustarts weiter offen. Wer zuerst zusperrt, nimmt dem Fehler die Voraussetzung und kann den Rest in Ruhe erledigen.

Die Korrektur ist gut zwölf Monate älter als die Warnung

Hier wird der Fall interessanter als eine übliche Update-Aufforderung. Für diesen Beitrag hat cryptoticker.io am 11. September 2026 die Veröffentlichungsübersicht des Projekts abgerufen und die 40 jüngsten Einträge ausgewertet. Das Ergebnis ordnet die Zeitachse.

Die letzte betroffene Fassung v1.18.5 wurde am 31. Juli 2025 veröffentlicht. Der erste Eintrag der 1.19er-Reihe in dieser Übersicht ist v1.19.1 vom 29. August 2025, am selben Tag folgte v1.19.2, einen Tag später v1.19.3. Die aktuelle Fassung v1.24.0 stammt vom 14. August 2026. Zwischen der ersten korrigierten Veröffentlichung und der öffentlichen Warnung am 9. September 2026 liegen damit gut zwölf Monate.

Eine Beobachtung aus derselben Auswertung gehört dazu, weil sie bei der Prüfung Verwirrung stiften kann: Eine eigenständige Veröffentlichung mit der Nummer v1.19.0 steht in dieser Übersicht nicht, obwohl die Berichterstattung sie als erste korrigierte Fassung nennt. Wer also in der Liste nach v1.19.0 sucht und nichts findet, hat nicht falsch gesucht. Maßgeblich für dich ist ohnehin die aktuelle Fassung und nicht die erste korrigierte.

Diese Auswertung hat cryptoticker.io am 11. September 2026 selbst erhoben. Methode: Abruf der Veröffentlichungsübersicht des Projekts über die Programmierschnittstelle von GitHub, Auswertung der 40 jüngsten Einträge nach Nummer und Veröffentlichungsdatum. Nicht prüfen ließ sich, welche Code-Änderung genau den Fehler behoben hat, denn die technischen Einzelheiten sind noch nicht veröffentlicht. Ebenso wenig lässt sich von außen feststellen, wie viele Betreiber heute noch eine alte Fassung laufen haben.

Die Veröffentlichungsnotizen zu v1.24.0 führen daneben eine Reihe von Härtungen auf, die alle in dieselbe Richtung zeigen: Für empfindliche Aufrufe wie den Zugriff auf die Wiederherstellungswörter und auf das Protokoll wird ein Schlüssel mit vollem Zugriff verlangt, die Begrenzung fehlgeschlagener Entsperrversuche wurde von der einzelnen Adresse auf die gesamte Installation umgestellt, die stillschweigende Annahme eines leeren Entsperr-Passworts aus alten Fassungen wurde entfernt, und eine Sicherheitsrichtlinie kam in die Dokumentation. Ob eine dieser Änderungen mit der jetzt gemeldeten Lücke zusammenhängt, sagt der Anbieter nicht.

Update auf v1.24.0: Diese Schritte in dieser Reihenfolge

Der Anbieter empfiehlt, die Installation auf v1.24.0 zu heben. Die Wege dorthin unterscheiden sich je nach Betriebsart, das Muster bleibt gleich.

1. Erreichbarkeit aus dem Internet beenden, bevor du irgendetwas anderes tust.
2. Eine Sicherung der Wiederherstellungswörter und der Kanaldaten prüfen. Ein Knoten mit offenen Zahlungskanälen ist kein Programm, das man beliebig neu aufsetzt.
3. Das Update einspielen und die Installation neu starten.
4. Auf der Informationsseite nachsehen, ob die neue Nummer tatsächlich steht.
5. Das Entsperr-Passwort wechseln, wenn der Knoten je offen erreichbar war.

Eine Warnung, die aus dem Umgang mit Lightning-Knoten allgemein stammt und nicht aus dieser Meldung: Wer einen Knoten mit offenen Kanälen aus einer alten Sicherung wiederherstellt, riskiert, einen veralteten Kanalstand zu veröffentlichen. Das kann Guthaben kosten. Lies deshalb vor dem Update die Hinweise des Anbieters zur Sicherung, statt aus dem Gedächtnis zu arbeiten.

Portfreigabe, Reverse Proxy, Tunnel: Wo die Erreichbarkeit wirklich entsteht

Kaum jemand macht seinen Knoten aus Versehen öffentlich. Es passiert an drei typischen Stellen, und alle drei sind bewusste Entscheidungen, die später in Vergessenheit geraten.

Die erste ist die Portfreigabe im Router. Sie leitet Anfragen aus dem Internet an ein Gerät im Heimnetz weiter, und sie bleibt bestehen, bis jemand sie entfernt. Die zweite ist ein vorgeschalteter Webserver, der die Oberfläche unter einer eigenen Adresse veröffentlicht, häufig eingerichtet, damit die Verbindung verschlüsselt läuft. Die dritte ist ein Tunneldienst, der eine Verbindung von außen nach innen aufbaut, ohne dass am Router etwas verändert werden muss. Gerade der dritte Weg ist bequem und hinterlässt im Router keine Spur, die dich später erinnert.

Wer den Zugang von unterwegs wirklich braucht, legt ihn besser in ein privates Netzwerk, in das sich das Handy einwählt, statt die Verwaltungsoberfläche frei ins Netz zu stellen. Wer Guthaben in nennenswerter Höhe hält, trennt ohnehin sinnvoll zwischen dem Betrag, der für Zahlungen im Alltag bereitliegt, und dem Rest, der auf einem Gerät ohne Netzverbindung liegt. Welche Geräte dafür in Frage kommen und was sie unterscheidet, steht im Vergleich der Hardware-Wallets.

Entsperr-Passwort wechseln: Warum das Update allein nicht reicht

Das Entsperr-Passwort schützt den laufenden Betrieb: Ohne dieses Passwort gibt die Software ihre Schlüssel nicht frei. Der Anbieter empfiehlt ausdrücklich, es nach dem Update zu wechseln, wenn die Installation zuvor offen erreichbar war, und sich bei Verdacht auf einen Vorfall an die Sicherheitsadresse des Anbieters zu wenden.

Der Gedanke dahinter ist einfach. Ein Update schließt die Tür. Es macht aber nicht rückgängig, dass jemand vorher durch diese Tür gegangen sein könnte und einen Schlüssel mitgenommen hat. Wer nur die Version hebt und das Passwort stehen lässt, behebt die Ursache und lässt die mögliche Folge bestehen.

Dasselbe gilt für Zugänge, die du einzelnen Apps erteilt hast. Geh die Liste dieser Verbindungen nach dem Update einmal durch und entferne, was du nicht mehr benutzt oder nicht zuordnen kannst.

Was passiert, wenn du nichts tust

Zwei Dinge sollte man auseinanderhalten. Guthaben in Zahlungskanälen ist an Schlüssel gebunden, die auf deinem Gerät liegen; es verschwindet nicht dadurch, dass eine Meldung erscheint, und es hängt auch nicht an einer Frist. Eine Frist gibt es in diesem Fall nicht, anders als bei einem Delisting an einer Börse.

Das Risiko ist ein anderes: Solange eine betroffene Fassung offen im Netz steht, bleibt der Weg offen, den der Anbieter beschreibt. Und es ist damit zu rechnen, dass die technischen Einzelheiten irgendwann veröffentlicht werden. Ab diesem Moment ist die Lücke für jeden nachvollziehbar, der sie suchen will. Wer bis dahin aktualisiert hat, ist raus.

Selbst betreiben oder verwahren lassen: Was der Fall über Self-Hosting sagt

Es wäre der falsche Schluss aus dieser Meldung, das Selbstbetreiben für einen Fehler zu halten. Ein selbst betriebener Knoten macht dich unabhängig von den Öffnungszeiten, Sperren und Auszahlungsfristen eines Anbieters. Der Preis dafür ist die Pflicht, Software aktuell zu halten, und genau diese Pflicht ist hier sichtbar geworden.

Was der Fall zeigt, ist etwas Bescheideneres: Die Angriffsfläche entsteht nicht durch die Verwahrung der Schlüssel, sondern durch die Bedienbarkeit aus der Ferne. Wer Bequemlichkeit hinzufügt, fügt Angriffsfläche hinzu. Diese Rechnung lässt sich nicht wegkonfigurieren, nur bewusst aufmachen.

Für die meisten Leser folgt daraus eine nüchterne Aufteilung. Der Betrag, mit dem du im Alltag zahlst, gehört in eine Software-Wallet oder in einen Knoten, der bequem erreichbar ist. Der Rest gehört auf ein Gerät, das nicht am Netz hängt und nichts bedienbar macht.

Ledger, BitBox02 und Core Lightning: der vierte Wallet-Vorfall in vier Wochen

Der Fall reiht sich ein. Am 21. August 2026 hat BitBox mit der Firmware 9.26.5 drei Sicherheitslücken geschlossen, am 25. August hat Ledger eine Lücke in der Ethereum-App behoben, bei der das Display etwas anderes anzeigen konnte als tatsächlich signiert wurde, und Ende August wurde eine Schwachstelle in Core Lightning bekannt, die Node-Betreiber zum Handeln zwang. Jetzt kommt Alby Hub dazu.

Die Häufung taugt nicht als Beleg dafür, dass Selbstverwahrung unsicherer geworden wäre. Sie zeigt eher, dass in diesem Bereich inzwischen systematisch gesucht und offengelegt wird. Für dich als Betreiber folgt daraus eine unspektakuläre Gewohnheit: einmal im Monat nachsehen, ob für jedes Gerät und jede Software, die Schlüssel hält, eine neue Fassung vorliegt. Das kostet zehn Minuten und erledigt den größten Teil solcher Meldungen, bevor sie dich erreichen.

Wer Belege aus erster Hand sehen will: Die Meldung vom 9. September ist unter anderem bei The Hacker News dokumentiert, und die aktuelle Fassung mitsamt ihren Veröffentlichungsnotizen steht in der Übersicht des Projekts zu v1.24.0.

Alby-Hub-Lücke schließen: Was du daraus mitnimmst

1. Heute die Erreichbarkeit prüfen, dann die Version. Ist die Verwaltungsoberfläche aus dem Internet erreichbar und läuft eine Fassung unter 1.19, nimm sie sofort vom Netz. Wer seinen Alltagsbetrag ohnehin lieber in einer schlanken Anwendung hält statt in einem eigenen Knoten, findet die Kandidaten im Vergleich der Software-Wallets.
2. Auf v1.24.0 aktualisieren und das Entsperr-Passwort wechseln. Erst sichern, dann aktualisieren, dann die Versionsnummer gegenlesen. Und trenne den Betrag, der täglich bewegt wird, von dem, der liegen bleibt; die Geräte dafür stehen im Vergleich der Hardware-Wallets.
3. Einen Monatstermin für Updates setzen. Vier Vorfälle in vier Wochen sind kein Ausreißer, sondern der Normalzustand einer Branche, in der aktiv gesucht wird. Zehn Minuten im Monat für alle Geräte und Programme, die Schlüssel halten, und ein Blick in den Vergleich der Software-Wallets, wenn du eine Anwendung ersetzen willst.

(Stand: 11. September 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)