LONDON (IT BOLTWISE) – BTCPay Server hat einen Notfall-Update veröffentlicht, nachdem eine Schwachstelle aktiv ausgenutzt wurde. Dabei soll die TOTP-Zwei-Faktor-Absicherung (Time-based One-Time Password) über eine Basic-Authentication der Greenfield-API umgangen werden können. Betroffen wären vor allem Händler, die ihre Bitcoin-Zahlungen über den Open-Source-Zahlungsserver betreiben. Für Betreiber gilt jetzt: Patch schnell einspielen, Zugriffspfade prüfen und Sicherheitsregeln nachziehen.
BTCPay Server, die Open-Source-Software, die Händler nutzen, um Bitcoin-Zahlungen abzuwickeln, hat einen Notfall-Update veröffentlicht. Ausgelöst wurde das Vorgehen durch eine Schwachstelle, die nicht nur dokumentiert, sondern bereits aktiv ausgenutzt wurde. Konkret geht es um einen GitHub-Pull-Request mit der Nummer #7491, in dem die Umgehung einer TOTP-Zwei-Faktor-Absicherung über die Greenfield-API beschrieben wird. Für den Betrieb bedeutet das: Ein Sicherheitsproblem auf der Händlerseite kann sich unmittelbar auf die Verwahrung bzw. Kontrolle von Geldern auswirken – nicht, weil Bitcoin „kaputt“ wäre, sondern weil die Angriffsfläche rund um die Zahlungsinfrastruktur des Merchants den Ausschlag gibt.
Technisch setzt die Lücke genau dort an, wo viele Systeme eine zweite Schutzschicht erwarten: bei der TOTP-Absicherung. Laut der Beschreibung im Pull-Request kann der Angreifer die TOTP-Prüfung umgehen, indem er den vorgesehenen Sicherheitsweg über eine Basic Authentication innerhalb der Greenfield-API nutzt. Damit verschiebt sich das Risiko vom klassischen „Passwort erraten“ hin zu „zweiter Faktor wird durch eine alternative Zugriffsmethode ausgehebelt“. Das ist besonders kritisch, weil viele Händler-Implementierungen TOTP vor allem als Hürde gegen unautorisierte Admin- oder Schlüsselaktionen verstehen. Wenn diese Hürde über einen API-Zugangspfad nicht zuverlässig wirkt, kann ein Angreifer unter Umständen Transaktionen anstoßen oder Kontrollen übernehmen – also genau die Handlungen, die bei Krypto-Custody typischerweise über kurze Kompromittierungsfenster entschieden werden.
Dass es sich um Greenfield API Basic Authentication handelt, ist auch für die Risikobewertung entscheidend. Basic Authentication ist im Kern ein Mechanismus zur Identitätsprüfung auf Anfrageebene; sie gilt in vielen Integrationen als „einfacher“ als stärker granulare Auth-Modelle. Wenn aber parallel eine TOTP-Prüfung implementiert ist, entsteht eine gefährliche Kluft: Der Sicherheitsmechanismus kann „wirken“, aber nur für den erwarteten Nutzungsweg. Angreifer nutzen dann genau die Pfade aus, die Entwickler beim Threat Modeling möglicherweise als Nebenroute betrachtet haben. In der Praxis ist das häufig der Punkt, an dem sich Security-Realität und Architekturintention überkreuzen: Ein Patch ist nicht nur eine Codezeile, sondern er muss die Logik so konsolidieren, dass jede relevante Aktion denselben Schutzmechanismus durchläuft.
Für den Markt ist diese Art Vorfall vor allem deshalb relevant, weil BTCPay genau auf Adoption durch Betreiber setzt, die nicht zwangsläufig Vollzeit-Sicherheitsprofis sind. Open-Source erleichtert zwar Transparenz und schnelle Audits, erzeugt aber auch einen Betriebseffekt: Sicherheitsupdates müssen zeitnah ausgerollt werden, sonst bleibt ein bekanntes Risiko im produktiven System. Der Source-Text ordnet die Lage daher als kritischen Risiko-Fall für „merchant wallets and payment providers“ ein und betont den unmittelbaren Bedarf an schnellen Protokoll-Updates. Das ist ein Muster, das man aus anderen Sicherheitsvorfällen im Krypto-Ökosystem kennt: Die eigentliche Zeitersparnis durch Open Source kommt nur dann an, wenn die Update-Disziplin im Alltag der Betreiber nachzieht.
Aus Sicht von Payment-Providern und Plattformbetreibern verändert sich damit auch die Priorität in der Sicherheitsarbeit. Neben dem reinen „Patch einspielen“ rückt die Frage in den Vordergrund, welche Auth- und Freigabewege in der eigenen Deployment-Umgebung tatsächlich genutzt werden. Viele Teams prüfen nach solchen Ereignissen nicht nur den Code-Stand, sondern auch die Integrationslogik: Wo liegt die API-Schnittstelle, wie sind Rollenrechte umgesetzt, und wird TOTP bei jeder Operation serverseitig erzwungen – oder nur in UI-Workflows? Dazu passt, dass der Vorfall explizit den Umgehungsweg über Greenfield API Basic Authentication adressiert. Wenn ein System TOTP als Schutzschild gegen bestimmte Aktionen implementiert, müssen Betreiber sicherstellen, dass dieselben Aktionen nicht über „trotzdem erreichbare“ Endpunkte verfügbar sind.
Kurzfristig erwartet der Bericht zudem negative Effekte auf das Vertrauen, was in der Krypto-Branche typischerweise schneller passiert als ein technischer Rollback. Gleichzeitig ist der Umgang mit der Situation selbst ein Teil der Risikoreduktion: Ein Notfall-Update zeigt, dass die Schwachstelle in der Community schnell erkannt und adressiert wurde. Für Unternehmen heißt das jetzt weniger „Panik“, sondern Prozesshärtung: Change-Management für Security-Updates, Monitoring ungewöhnlicher API-Aktivität und ein schneller Abgleich zwischen geplanter Sicherheitslogik (TOTP überall) und tatsächlicher Ausführung (TOTP auch über alle API-Pfade). Wer BTCPay produktiv nutzt, sollte zudem die eigene Patch-Historie und die Versionsstände der eingesetzten Komponenten dokumentieren, damit aus dem Vorfall ein überprüfbarer Sicherheitsstandard wird.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "BTCPay Server: Notfall-Patch schließt TOTP-Umgehung über Greenfield-API" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "BTCPay Server: Notfall-Patch schließt TOTP-Umgehung über Greenfield-API" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »BTCPay Server: Notfall-Patch schließt TOTP-Umgehung über Greenfield-API« bei Google Deutschland suchen, bei Bing oder Google News!