LNbits-Sicherheitslücke: Version 1.7.0 stoppt Diebstähle aus Lightning-Wallets

Wer einen eigenen LNbits-Server betreibt, muss jetzt handeln: Alle Versionen vor 1.7.0 enthalten eine Sicherheitslücke, über die Angreifer Bitcoin aus Lightning-Wallets abgezogen haben. Das Projekt hat am 10. November 2026 die Version 1.7.0 veröffentlicht und schreibt dazu, dass ein Update allein nicht reicht, wenn Zugangsdaten bereits abgeflossen sind. Betreiber sollen deshalb zusätzlich alle Wallet-Schlüssel zurücksetzen und die Zugangsdaten ihrer Geldquelle austauschen.

Für Anleger, die Bitcoin nur an einer Börse oder in einer gewöhnlichen App halten, ändert sich nichts. Betroffen sind Menschen und Organisationen, die LNbits selbst installiert haben, und alle, die ein Lightning-Konto auf einem fremden LNbits-Server nutzen, etwa über eine Bolt Card oder eine Kasse im Laden.

LNbits-Sicherheitslücke: Was seit dem 8. November bekannt ist

Entdeckt wurde die Schwachstelle nach Angaben des Projekts am 8. November 2026, einem Sonntag. Laut Cointelegraph riet LNbits an diesem Tag zunächst dazu, die Erweiterung Paywall abzuschalten, solange die Prüfung läuft. Rund eine Stunde später folgte die deutlich schärfere Bitte, sämtliche LNbits-Server sofort herunterzufahren, weil eine Welle von Angriffen laufe.

In der offiziellen Sicherheitsmitteilung zu Version 1.7.0 heißt es, dass Guthaben auf allen älteren Versionen dem Risiko eines Diebstahls ausgesetzt sind. Wie der Angriff technisch genau abläuft, hat LNbits bislang nicht offengelegt. Ein gesonderter Bericht mit den Einzelheiten zum Exploit soll folgen. Ein Exploit ist ein Angriffsweg, der eine konkrete Schwachstelle in einer Software ausnutzt, um etwas zu tun, das der Betreiber nicht erlaubt hat.

Unklar ist damit auch, welche der vielen Änderungen in 1.7.0 genau den genutzten Weg schließt. Das Fachportal SpendNode weist darauf hin, dass die Versionshinweise diese Zuordnung nicht enthalten. Für Betreiber heißt das: Ob die eigene Instanz über genau diese Lücke angegriffen wurde, lässt sich nicht sicher feststellen. Wer eine ältere Version am Netz hatte, geht besser vom ungünstigen Fall aus.

Lightning-Software LNbits: Ein Server für viele kleine Konten

LNbits ist eine freie Software, die auf einer Lightning-Geldquelle aufsetzt und darüber beliebig viele Unterkonten verwaltet. Das Lightning Network ist ein Zahlungsnetz oberhalb der Bitcoin-Blockchain, über das kleine Beträge in Sekunden und für wenige Satoshi Gebühr fließen. Ein Satoshi ist der hundertmillionste Teil eines Bitcoin.

Als Geldquelle (im Projekt „Funding Source“ genannt) dient ein eigener Lightning-Knoten mit LND oder Core Lightning, ein Zahlungsdienstleister oder eine andere LNbits-Instanz. LNbits selbst hält keine privaten Schlüssel für die Bitcoin auf der Blockchain. Es hält aber die Zugangsdaten zur Geldquelle und die Schlüssel der einzelnen Wallets. Wer diese Daten erbeutet, kann im Rahmen des Guthabens Zahlungen auslösen.

Genau deshalb ist die Software beliebt: Ein Verein, ein Café oder ein Händler kann mit einem einzigen Knoten viele Konten, Kassen und Karten bedienen. LNbits-Gründer Ben Arc sagte im Mai, dass rund 200.000 Menschen die Software selbst betreiben; die Zahl zitiert Cointelegraph. Unabhängig prüfen lässt sie sich nicht, sie zeigt aber die Größenordnung.

Wer seine Coins grundsätzlich lieber ohne eigenen Server verwahrt, findet die Unterschiede zwischen App-Wallets im Software-Wallet-Vergleich. Bitcoin selbst notierte am Morgen des 11. November laut CoinGecko bei rund 73.800 Dollar; die längerfristige Einordnung steht in unserer Bitcoin-Prognose.

Notfall-Abschaltung: LNbits nahm die eigenen gehosteten Instanzen vom Netz

Neben der Warnung an selbst hostende Betreiber griff LNbits auch bei sich selbst durch. Nach dem Bericht von Cointelegraph nahm das Projekt seine eigenen gehosteten Installationen vom Netz. Wer dort ein Konto führt, kam damit vorübergehend nicht an sein Guthaben, war aber auch vor weiteren Abflüssen über die Lücke geschützt.

Die harte Abschaltung ist bei einer Hot Wallet die einzige sofort wirksame Maßnahme. Eine Hot Wallet ist eine Wallet, deren Schlüssel auf einem Rechner mit Internetverbindung liegen und die deshalb jederzeit Zahlungen auslösen kann. Solange der Angriffsweg offen ist, verhindert nur ein ausgeschalteter Server, dass weitere Satoshi abfließen.

Sicherheitsupdate 1.7.0: Anmeldung, Erweiterungen und Zahlungen überarbeitet

Die neue Version erschien am 10. November 2026 auf GitHub. LNbits beschreibt sie dort als kritisches Sicherheitsupdate mit umfangreicher Härtung und wichtigen Korrekturen an Schwachstellen. Die Änderungen betreffen drei Bereiche: die Anmeldung, die Verwaltung von Erweiterungen und die Abwicklung von Zahlungen. Über der Veröffentlichung steht der Aufruf, dass alle Nutzer sofort aktualisieren sollen.

Neu ist unter anderem eine Funktion, mit der der Super-Admin alle Wallet-Schlüssel einer Instanz auf einmal zurücksetzen kann. Nach Angaben von SpendNode kommen eine Zwei-Faktor-Anmeldung per TOTP-App und automatische Updates für Erweiterungen hinzu. TOTP steht für zeitbasierte Einmalpasswörter, wie sie Authenticator-Apps alle 30 Sekunden neu erzeugen.

LNbits verlangt, dass kein Server mehr mit einer älteren Version gestartet wird. Erst mit 1.7.0 darf die Instanz wieder laufen.

Schaden durch den Exploit: 2,3 Millionen Satoshi bei einem Betreiber

Eine Gesamtsumme hat LNbits nicht genannt, ebenso wenig die Zahl der betroffenen Instanzen. Öffentlich dokumentiert ist bisher ein Einzelfall: Ein Betreiber schilderte laut Cointelegraph, dass Angreifer über neu angelegte Konten rund 2,3 Millionen Satoshi aus seiner Instanz abzogen, bevor er den Server abschalten konnte. Das sind 0,023 Bitcoin, beim Kurs vom 11. November rund 1.700 Dollar.

Der Weg über neu angelegte Konten ist bemerkenswert. Viele Beobachter werten ihn als Hinweis darauf, dass Angreifer innerhalb der Instanz Rechte erlangten, die ihnen nicht zustanden. Bestätigt hat LNbits diese Deutung nicht. Ben Arc sprach nach Angaben von Cointelegraph von herausfordernden Tagen, in denen das Team Version 1.7 fertigstellte, nachdem Nutzer und das Projekt selbst Verluste erlitten hatten.

Gemessen an großen Börsen-Hacks ist der bekannte Schaden klein. Für Betreiber zählt aber etwas anderes: Ein LNbits-Server, der Zugriff auf einen Lightning-Knoten hat, kann im Ernstfall das gesamte ausgehende Guthaben dieses Knotens verlieren, nicht nur das Geld eines einzelnen Kontos.

So schützt du dich vor dem LNbits-Exploit

Was passiert ist: Am 8. November 2026 wurde eine Sicherheitslücke in LNbits entdeckt, über die Angreifer Guthaben aus selbst betriebenen Lightning-Instanzen abzogen. Betroffen sind alle Versionen vor 1.7.0, die Korrektur erschien am 10. November. Eine Gesamtschadenssumme ist nicht bekannt, ein Betreiber meldete laut Cointelegraph rund 0,023 Bitcoin Verlust (Stand 11. November).

Bist du betroffen? Ja, wenn du zwischen dem Bekanntwerden und deinem Update einen LNbits-Server mit einer Version vor 1.7.0 betrieben hast oder ein Konto auf einem solchen Server nutzt. Nein, wenn du Bitcoin nur an einer Börse, in einer gewöhnlichen Wallet-App oder auf einer Hardware-Wallet hältst und kein Dienst, den du nutzt, auf LNbits läuft. Ob eine Instanz tatsächlich angegriffen wurde, zeigen ungewöhnliche neue Konten und ausgehende Zahlungen, die niemand ausgelöst hat.

1. Update auf 1.7.0: Starte deinen LNbits-Server erst wieder, nachdem du die Version 1.7.0 installiert hast, und lass ältere Versionen dauerhaft ausgeschaltet.
2. Neuer Server bei Verdacht: Siehst du fremde Konten oder unerklärliche Zahlungen, setze LNbits 1.7.0 auf einem frisch eingerichteten Server auf und sichere vorher die Logdateien des alten Systems.
3. Wallet-Schlüssel zurücksetzen: Öffne als Super-Admin unter Einstellungen den Bereich Users, wähle „Reset Wallet Keys“ und gib allen Nutzern danach die neuen Schlüssel für ihre verbundenen Apps.
4. Geldquelle neu absichern: Widerrufe beim Lightning-Knoten oder Zahlungsdienst alle API-Schlüssel und Macaroons, die LNbits nutzt, erzeuge neue und trage sie in den Einstellungen der Funding Source ein.
5. Guthaben abziehen: Lass auf dem Server nur das Geld für den laufenden Betrieb und überweise alles Übrige auf eine On-Chain-Wallet, deren Schlüssel offline liegen.

Die Grundlagen der sicheren Verwahrung erklärt unser Ratgeber Kryptowährungen sicher aufbewahren, die passenden Geräte vergleicht der Hardware-Wallet-Vergleich.

Erweiterungen NWC, LNDHub und Bolt Cards: Verbindungen neu anlegen

LNbits lebt von Erweiterungen, und genau dort liegt ein Teil der Nacharbeit. Die Sicherheitsmitteilung nennt sechs Erweiterungen, deren bestehende Verbindungen Betreiber widerrufen oder löschen und mit neuen Zugangsdaten anlegen sollen: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA.

Hinter den Namen stehen ganz praktische Anwendungen. NWC steht für Nostr Wallet Connect, ein Verfahren, mit dem Apps eine Wallet aus der Ferne zum Bezahlen anstoßen dürfen. LNDHub verbindet mobile Wallet-Apps mit dem Server. Bolt Cards sind NFC-Karten, mit denen man an der Kasse per Lightning bezahlt, TPOS ist eine Kassen-Erweiterung für Händler. Bleskomat und FOSSA sind Bitcoin-Automaten, die über LNbits angebunden werden.

Jede dieser Verbindungen trägt eigene Schlüssel. Wer nur die Wallet-Schlüssel zurücksetzt, aber eine alte NWC-Verbindung oder eine ausgegebene Bolt Card weiterlaufen lässt, lässt womöglich eine Tür offen. Auch alle übrigen geheimen Werte in den LNbits-Einstellungen behandelt das Projekt als kompromittiert und empfiehlt, sie auszutauschen.

Wer neben LNbits einen BTCPay Server betreibt, findet die Grundregeln für Lightning-Zugriffe in unserem Beitrag zum Absichern von BTCPay-Lightning-Zugängen.

Hot Wallet auf dem Server: Nur Betriebsgeld gehört online

Die vielleicht wichtigste Lehre steht am Ende der LNbits-Mitteilung und gilt weit über diesen Fall hinaus. LNbits sei eine Hot Wallet, heißt es dort. Auf dem Server soll deshalb nur das Geld für den laufenden Betrieb liegen. Betreiber sollen Kontostände und ausgehende Zahlungen regelmäßig kontrollieren und Überschüsse auf eine On-Chain-Wallet mit offline verwahrten Schlüsseln verschieben.

Für einen Händler mit Lightning-Kasse bedeutet das eine feste Routine: Einnahmen sammeln sich tagsüber auf dem Knoten, abends oder wöchentlich wandert der Überschuss auf eine Cold Wallet. Eine Cold Wallet ist das Gegenstück zur Hot Wallet, ihre Schlüssel liegen auf einem Gerät ohne dauerhafte Internetverbindung. Wie sich die gängigen Geräte dafür unterscheiden, zeigt der Vergleich der Hardware-Wallets.

Wer gar keinen eigenen Server pflegen will, ist mit einer gut gewarteten App-Wallet oft besser bedient. Ein eigener Lightning-Server bringt Unabhängigkeit, verlangt aber, dass jemand Updates wie dieses am Sonntagabend mitbekommt.

Bolt Card und Vereinskasse: Konten auf fremden LNbits-Servern

Viele Lightning-Nutzer betreiben LNbits nicht selbst, sondern haben dort nur ein Konto. Typisch sind Bitcoin-Stammtische, die ihren Mitgliedern Bolt Cards ausgeben, Cafés mit Lightning-Kasse oder Dienste, die eine Wallet per Link verschenken. Diese Nutzer können das Update nicht selbst einspielen, alles hängt davon ab, dass der Betreiber reagiert.

Sinnvoll ist eine direkte Nachfrage beim Betreiber: Läuft der Server mit 1.7.0, wurden die Schlüssel zurückgesetzt, und gab es auffällige Abflüsse? Bis die Antwort da ist, gehört auf ein solches Konto kein größerer Betrag. Bekommst du nach dem Zurücksetzen einen neuen Zugangslink oder eine neue Karte, verwende ausschließlich diese. Alte Links und Karten sind danach wertlos, im ungünstigsten Fall kennt sie auch ein Angreifer.

Wer Bitcoin dagegen auf einer Börse mit EU-Zulassung kauft und hält, ist von dieser Lücke nicht betroffen. Welche Anbieter eine Lizenz nach der europäischen MiCA-Verordnung besitzen, zeigt der Vergleich regulierter Krypto-Börsen.

LNbits 1.7.0: Erst neue Schlüssel machen das Update wirksam

1. Spiele Version 1.7.0 ein, setze alle Wallet-Schlüssel zurück und tausche die Zugangsdaten deiner Funding Source aus, bevor der Server wieder Zahlungen annimmt. Für die Rücklagen außerhalb des Servers eignet sich ein Gerät aus dem Hardware-Wallet-Vergleich.
2. Lege die Verbindungen für NWC, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA neu an. Für den Alltag ohne eigenen Server hilft der Vergleich der Software-Wallets bei der Wahl einer gepflegten App.
3. Behalte die angekündigte Fehleranalyse von LNbits im Blick und lass bis dahin nur Betriebsgeld online. Wer Bitcoin lieber bei einem lizenzierten Anbieter hält, findet ihn im Vergleich der MiCA-regulierten Börsen.

(Stand: 11. November 2026. Dieser Beitrag ist keine Anlageberatung. Kurse und Gebührenmodelle ändern sich; prüfe die Konditionen vor jedem Kauf beim Anbieter selbst.)