Lightning wallet veilig gebruiken: vijf beveiligingswaarschuwingen sinds augustus

Een Lightning wallet is zo veilig als de server waarop de sleutels staan. Wie bitcoin via Lightning alleen in een gangbare app op de telefoon bewaart, werd niet direct geraakt door de beveiligingswaarschuwingen van de afgelopen drie maanden. Wie daarentegen zelf een Lightning-node, een BTCPay Server, Alby Hub of LNbits draait, kreeg sinds begin augustus vijf waarschuwingen, en in minstens twee gevallen verdween er daadwerkelijk geld. De les uit alle vijf is dezelfde: een update dicht het lek, maar pas nieuwe inloggegevens en een klein saldo op de server maken Lightning weer veilig.

Lightning is voor bitcoin wat een betaalpas is voor een spaarrekening: een snelle betaalroute voor kleine bedragen. Juist daarom staan de sleutels op computers die voortdurend met internet verbonden zijn. Dit artikel bundelt de afzonderlijke gevallen, legt het gemeenschappelijke patroon uit en laat zien hoeveel saldo er eigenlijk op een Lightning-node hoort te staan. Hoe het netwerk technisch werkt, lees je in onze basistekst over het Bitcoin Lightning-netwerk.

Lightning-beveiligingslekken sinds augustus: vijf waarschuwingen in drie maanden

De reeks begint op 7 augustus 2026. BTCPay Server, veelgebruikte vrije software waarmee handelaren zelf bitcoinbetalingen ontvangen, bracht versie 2.4.2 uit als noodupdate. Volgens de beveiligingsmelding van het project kon een aanvaller zonder in te loggen de autorisatiebestanden van een gekoppelde LND-node buitmaken. Het project bevestigt dat aanvallers het lek hebben misbruikt en saldo hebben gestolen.

Op 28 augustus volgde Core Lightning, een van de drie grote implementaties van het Lightning-protocol, met versie 26.06.7. De update dichtte meerdere bevestigde kwetsbaarheden. Wie niet meteen kon updaten, moest de node opnieuw starten met de schakelaar --offline. Verliezen waren op dat moment niet gemeld. Voor Docker-gebruikers kwam er een staartje: tot 1 september leverden vier images een versie die zich als 26.06.7 meldde, maar de correcties niet bevatte.

Op 8 september meldde BTCPay Server opnieuw een risico. Geautomatiseerde programma's tastten gericht servers af waarop beheerders de in augustus gesloten toegang tot de LND-interface met de hand weer hadden opengezet. Een dag later waarschuwde Alby Hub, software voor een eigen Lightning-node thuis of op een gehuurde server: de versies v1.7.0 tot en met v1.18.5 waren kwetsbaar als de beheeromgeving vanaf het open internet bereikbaar was. Eén gebruiker was bevestigd getroffen.

Het recentste geval betreft LNbits. Op 8 november ontdekte het project een lek waarlangs aanvallers saldo weghaalden uit zelf gehoste instanties. Op 10 november verscheen versie 1.7.0, met de oproep geen enkele server meer met een oudere versie te starten. Wat daar precies gebeurde, beschrijft ons artikel over het LNbits-beveiligingslek.

De vijf gevallen op een rij

• 7 augustus, BTCPay Server 2.4.2: autorisatiebestanden van LND-nodes te bemachtigen, diefstal bevestigd.
• 28 augustus, Core Lightning 26.06.7: meerdere kwetsbaarheden, geen gemelde verliezen, gebrekkige Docker-images tot 1 september.
• 8 september, BTCPay Server 2.4.4: bots zoeken naar heropende LND-toegangen, geen geslaagde overname gemeld.
• 9 september, Alby Hub: publiek bereikbare beheerinterface kwetsbaar, één bevestigd geval.
• 8 tot 10 november, LNbits 1.7.0: diefstal uit Lightning-wallets, totale schade onbekend.

Lightning wallet en hot wallet: waar de sleutels staan

Een Lightning wallet is een wallet die bitcoin via het Lightning-netwerk verstuurt en ontvangt, in plaats van elke betaling afzonderlijk in de blockchain vast te leggen. Daarvoor opent een node betaalkanalen naar andere nodes. Een betaalkanaal is een bedrag dat twee partijen samen in een bitcointransactie vastzetten en waarover ze daarna zo vaak als ze willen heen en weer betalen.

Om betalingen binnen seconden te kunnen doorsturen, moet de node op elk moment kunnen ondertekenen. De sleutels staan daarom op een computer met internetverbinding. Precies dat is een hot wallet: een wallet waarvan de sleutels online beschikbaar zijn. De tegenhanger is de cold wallet, waarvan de sleutels op een apparaat zonder vaste verbinding staan, zoals een hardware wallet.

Daaruit volgt het belangrijkste verschil met bewaring op lange termijn. Een bitcoinreserve op een hardware wallet kan niemand via internet verplaatsen, zolang de seed veilig ligt. Een Lightning-node kan daarentegen alles verplaatsen wat in zijn kanalen en zijn on-chainwallet staat, zodra een aanvaller de juiste inloggegevens heeft. LNbits schrijft dat uitdrukkelijk in zijn melding: de software is een hot wallet, en met AI-ondersteunde aanvallen is het risico groter dan ooit.

Bewaarde Lightning wallet of eigen node: wie de lekken troffen

Lightning bestaat in twee vormen. Bij een bewaarde Lightning wallet draait een aanbieder de node en zie je alleen een saldo in de app. Bij een wallet in eigen beheer draai je de node zelf of laat je een app een kleine node op je telefoon draaien. Alle vijf waarschuwingen gingen over software die beheerders zelf installeren: op een thuisserver, een kant-en-klaar pakket zoals Umbrel of Start9 of een gehuurde computer.

Daartussen zit een derde groep die gemakkelijk over het hoofd wordt gezien. Wie op een bitcoinmeetup een Bolt Card kreeg, in een café via een Lightning-kassa betaalde of een wallet via een link cadeau kreeg, gebruikt vaak een account op de LNbits-server van iemand anders. Deze gebruikers kunnen zelf geen update installeren en zijn afhankelijk van een reactie van de beheerder.

Voor de drie groepen geldt een eenvoudige indeling:

• Alleen app-wallet of beurs: niet direct geraakt. Een update van de app kan nooit kwaad.
• Account op een LNbits-server van een ander: vraag de beheerder of versie 1.7.0 draait en of de sleutels opnieuw zijn uitgegeven. Tot die tijd alleen kleine bedragen.
• Eigen node, BTCPay Server, Alby Hub of LNbits: versie controleren, toegangen sluiten, inloggegevens vervangen.

Open beheertoegangen: het gemeenschappelijke patroon achter BTCPay, Alby Hub en LNbits

De vijf gevallen hebben verschillende technische oorzaken, maar de drie waarschuwingen van BTCPay en Alby Hub volgen hetzelfde patroon. Een interface die alleen voor de beheerder bedoeld was, was vanaf internet bereikbaar of zonder inloggen aan te spreken. Bij BTCPay waren dat in augustus de autorisatiebestanden van de LND-node, in september een endpoint voor het wijzigen van wachtwoorden dat sommige beheerders zelf weer naar buiten hadden opengezet. Bij Alby Hub was het de beheeromgeving. Bij LNbits is de aanvalsroute nog niet openbaar gemaakt, een apart rapport volgt. Bekend is dat aanvallers volgens Cointelegraph nieuwe accounts aanmaakten en daarmee ongeveer 2,3 miljoen satoshi uit één instantie wegsluisden, dat is 0,023 bitcoin.

Een satoshi is het honderdmiljoenste deel van een bitcoin. De bekende afzonderlijke schade is dus klein. De schade die mogelijk was geweest, is dat niet: wie de inloggegevens van een node heeft, kan binnen de kanalen het volledige uitgaande saldo verplaatsen, niet alleen dat van één subaccount.

In de praktijk betekent dat: de meest effectieve bescherming kost niets. Een beheeromgeving die alleen in het thuisnetwerk of via een versleutelde tunnel zoals Tor of WireGuard bereikbaar is, was in geen van de gevallen van Alby Hub of BTCPay in september kwetsbaar. Hoe je dat concreet inricht, lees je in onze aparte uitleg over het Alby Hub-lek en over het afschermen van de Lightning-toegang bij BTCPay Server.

Macaroons, API-sleutels en wallet-keys: waarom een update alleen niet volstaat

Een update sluit de weg waarlangs een aanvaller is binnengekomen. Wat hij eerder heeft meegenomen, blijft geldig. BTCPay Server en LNbits wijzen daar allebei op. LNbits schrijft in zijn melding over versie 1.7.0 dat inloggegevens die vóór de update zijn uitgelekt, een aanvaller ook daarna nog toegang kunnen geven.

Bij LND heten deze inloggegevens macaroons. Een macaroon is een sleutelbestand met getrapte rechten. De admin-macaroon is de hoofdsleutel: daarmee kun je betalingen uitvoeren en kanalen sluiten. LNbits werkt daarnaast met eigen wallet-sleutels voor elk subaccount en met de inloggegevens voor de geldbron, dus de node of betaaldienst waarlangs de instantie haar saldo verplaatst.

Het herstelwerk na een incident volgt daarom altijd dezelfde volgorde. Eerst komt de update, daarna worden alle sleutels ingetrokken en opnieuw aangemaakt, pas dan neemt de server weer betalingen aan. LNbits noemt zes extensies waarvan beheerders de koppelingen moeten verwijderen en opnieuw aanmaken: NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA. Achter NWC zit Nostr Wallet Connect, een methode waarmee apps een wallet op afstand een betaling mogen laten doen. Een vergeten NWC-koppeling kan een open deur blijven, ook al is de server allang bijgewerkt.

Bij een vermoeden van inbraak raden beide projecten een nieuw systeem aan. LNbits adviseert de software op een nieuwe server te installeren en vooraf de logbestanden van de oude veilig te stellen. BTCPay Server raadt aan uitgaande betalingen, onverwachte kanaalsluitingen en onbekende tegenpartijen te controleren en de saldi met je eigen administratie te vergelijken.

AI-ondersteunde foutopsporing: Lightning-software staat onder meer druk

Eén factor verbindt de gevallen buiten de techniek om. Het team van Core Lightning meldde eind augustus dat het wekenlang een ongewoon groot aantal kwetsbaarheidsmeldingen had verwerkt die met AI-tools waren gegenereerd, en dat meerdere daarvan echt waren. LNbits onderbouwde in november zijn advies om maar weinig geld online te houden uitdrukkelijk met de toename van AI-ondersteunde aanvallen.

Voor beheerders verschuift daarmee het tempo. Fouten die vroeger maandenlang onopgemerkt bleven, duiken sneller op, bij verdedigers en aanvallers. Vrije Lightning-software wordt vaak door kleine teams onderhouden. Bij LNbits lagen er twee dagen tussen ontdekking en correctie, en in die tijd liepen de aanvallen al. Wie een eigen node draait, heeft daarom een manier nodig om zulke meldingen mee te krijgen: de aankondigingskanalen van de gebruikte software volgen, automatische updates controleren en de server niet maandenlang onbeheerd laten draaien.

Voor de meeste beleggers is dat een argument tegen een eigen server. Wie Lightning alleen voor af en toe een betaling gebruikt, is met een goed onderhouden app meestal beter af. Welke apps daarvoor geschikt zijn, verschilt sterk per aanbieder.

Hot wallet en cold wallet: hoeveel bitcoin op een Lightning-node hoort

De misschien belangrijkste regel staat aan het eind van de LNbits-melding en geldt voor elke Lightning wallet: online hoort alleen het geld voor het dagelijks gebruik. Controleer saldi en uitgaande betalingen regelmatig en verplaats overschotten naar een on-chainwallet waarvan de sleutels offline staan.

Hoeveel werkkapitaal passend is, hangt af van het doel. Voor een privé-Lightning wallet volstaat wat je de komende weken wilt uitgeven, vergelijkbaar met het contante geld in je portemonnee. Een handelaar met een Lightning-kassa heeft genoeg uitgaande capaciteit nodig voor terugbetalingen en wisselgeld, de rest gaat 's avonds of wekelijks naar de cold wallet. Een node die betalingen voor anderen doorstuurt, heeft meer kanaalcapaciteit nodig en daarmee ook meer aandacht.

De cold wallet zelf hoort een hardware wallet te zijn waarvan de seed los van het apparaat wordt bewaard. Welke apparaten daarvoor geschikt zijn, vergelijkt onze vergelijking van hardware wallets. Waar het om gaat, is de scheiding: de seed van je reserve heeft op de Lightning-server niets te zoeken, ook niet als bestand in een back-upmap.

Lightning in het dagelijks leven: Bolt Card, winkelkassa en app-wallet zonder eigen server

Wie met Lightning betaalt zonder een server te draaien, gebruikt meestal een van drie vormen. Een app-wallet op de telefoon draait zelf de node of maakt verbinding met een dienst. Een Bolt Card is een NFC-kaart waarmee je aan een kassa via Lightning betaalt; het saldo staat op de server die de kaart heeft uitgegeven. Een Lightning-kassa in de winkel draait bij de handelaar.

Bij de Bolt Card en bij wallets die je via een link cadeau kreeg, ligt het risico bij de beheerder. Heeft die na het LNbits-incident nieuwe sleutels uitgegeven, dan zijn oude kaarten en links waardeloos. In het ergste geval kent ook een aanvaller ze. Een nieuwe kaart of een nieuwe link van de beheerder vervangt daarom altijd de oude versie. Blijft een reactie uit, zet op zo'n account dan niet meer dan het bedrag voor een kop koffie.

Wie bitcoin daarentegen bij een beurs koopt en daar aanhoudt, heeft geen last van Lightning-lekken in zelf gehoste software. In de EU heeft zo'n aanbieder sinds het einde van de overgangstermijn een vergunning onder de Europese MiCA-verordening nodig. Welke aanbieders je kunt vergelijken, zie je in onze vergelijking om bitcoin te kopen. Bewaring bij een aanbieder vervangt bewaring in eigen beheer niet, het risico ligt dan bij een onderneming onder toezicht.

Lightning-node beveiligen: vijf instellingen in volgorde van controle

Uit de vijf waarschuwingen valt een vaste volgorde af te leiden die voor alle zelf gehoste Lightning-software geldt:

1. Versie: BTCPay Server vanaf 2.4.4 met LND vanaf 0.21.1, Core Lightning vanaf 26.06.7 met gecontroleerde Docker-image, Alby Hub vanaf v1.24.0, LNbits vanaf 1.7.0.
2. Bereikbaarheid: beheeromgevingen en LND-interfaces alleen in het thuisnetwerk of via een tunnel, zelfgebouwde doorverwijzingen verwijderen.
3. Inloggegevens: na elk incident macaroons, API-sleutels, wallet-keys en wachtwoorden opnieuw aanmaken, koppelingen van apps opnieuw instellen.
4. Saldo: alleen werkkapitaal op de node, overschotten regelmatig naar de cold wallet.
5. Controle: uitgaande betalingen, nieuwe accounts en kanaalsluitingen eens per week bekijken.

Deze lijst vervangt de melding van het betreffende project niet, maar zet ze alleen op een rij. Bij een nieuw incident geldt altijd eerst wat de ontwikkelaars zelf schrijven.

Lightning wallet veilig gebruiken: alleen werkkapitaal hoort op de server

1. Werk je Lightning-software bij en vervang daarna alle inloggegevens. Voor de reserve buiten de server vind je een geschikt apparaat in onze vergelijking van hardware wallets.
2. Ga na of je überhaupt een eigen node nodig hebt. Voor af en toe een betaling volstaat vaak een goed onderhouden app.
3. Houd grotere bedragen aan bij een aanbieder onder toezicht of offline. Aanbieders vergelijken kan in onze vergelijking om bitcoin te kopen.

(Per 12 november 2026. Dit artikel is geen beleggingsadvies. Koersen en tarieven veranderen; controleer de voorwaarden bij de aanbieder voordat je koopt.)