BTCPay Server-hack: bitcoin-hotwallets leeggehaald, zet je server nu uit

Draai je een $Bitcoin-betaalserver, lees dan alleen deze zin nog uit en zet hem daarna uit. BTCPay Server, de meest gebruikte zelf gehoste betaaldienst voor bitcoin, bevestigt dat aanvallers hotwallets op oudere installaties leeghalen. Alle beheerders moeten hun instantie offline halen tot het onderzoek is afgerond.

Wat is er bij BTCPay Server gebeurd?

Laat op zaterdagavond 1 november gaf het BTCPay-team een noodwaarschuwing af: er kwamen meldingen binnen dat hotwallets die aan BTCPay-instanties gekoppeld zijn, door onbevoegden werden geleegd. De instructie was duidelijk: de server uitschakelen met het script ./btcpay-down.sh en afwachten.

Op zondag had het incident-responseteam de aanvalsvector afgebakend. Volgens het project gaat het om installaties met versie 2.4.1 van 23 juli 2026 of ouder. Voor de huidige versie 2.4.7 zijn er geen geloofwaardige meldingen van geleegde wallets.

Medeoprichter Nicolas Dorier voegde er een verontrustend detail aan toe: de aanvaller logde op de getroffen instanties in met beheerdersrechten. Hoe hij aan die toegang kwam, is nog altijd onduidelijk. De openbare servers van het project zelf draaien op 2.4.7 en bleven buiten schot.

Hoeveel bitcoin is er bij de BTCPay-hack gestolen?

Dat weet tot nu toe niemand, en BTCPay Server heeft geen bedrag genoemd. Zowel het aantal gecompromitteerde servers als het aantal beheerders met verlies is onbekend. Getroffenen moeten de details van het incident en de serverlogs naar het beveiligingsteam sturen, zodat de omvang überhaupt in cijfers te vatten is.

De hostingproviders reageerden snel. LunaNode en anderen hebben oudere instanties automatisch uitgeschakeld. Was je BTCPay-dashboard in het weekend opeens op zwart gegaan, dan ligt het waarschijnlijk daaraan.

Is dit hetzelfde BTCPay-beveiligingslek als in augustus?

Niet helemaal, maar het patroon is bekend. In augustus waarschuwde BTCPay Server voor een actief misbruikt lek waarmee aanvallers LND-beheerderstoegang konden buitmaken en bij gekoppelde Lightning-wallets konden komen. De fout werd met 2.4.2 gedicht, en het project loofde een beloning uit van 10 procent van de teruggehaalde middelen, met een maximum van 3 BTC.

Het lek uit augustus trof uitdrukkelijk geen on-chain hotwallets. Dit lek wel. En het komt zes weken nadat Core Lightning waarschuwde dat aanvallers gericht zoeken naar oudere, niet gepatchte Lightning-nodes. Drie incidenten in drie maanden, één boodschap: bitcoin-betaalinfrastructuur die niet wordt bijgewerkt, ligt actief onder vuur.

Wat moeten beheerders van BTCPay Server nu doen?

• Zet de instantie uit tot BTCPay Server het sein veilig geeft, ook als je een actuele versie draait. Volgens het project is 2.4.7 niet getroffen, maar de oorzaak van de beheerderslogin is niet opgehelderd.
• Controleer de saldi in de hotwallet en verplaats alles wat er nog staat naar cold storage. BTCPay raadt al sinds jaar en dag aan om alleen het benodigde werkkapitaal in de hotwallet te houden.
• Bewaar de logs. Zie je onverklaarbare transacties, reset de server dan niet. Stuur de logs naar het beveiligingsteam van BTCPay.
• Werk bij voordat je herstart. Start de instantie alleen opnieuw op 2.4.7 of een latere gepatchte versie.
• Vernieuw de inloggegevens van elk beheerdersaccount op de server en van elke dienst die hetzelfde wachtwoord gebruikt.