BTCPay-hul udnyttes aktivt: det er ikke nok at opdatere
En fejl i godkendelsen i BTCPay Server lod angribere omgå totrinsbekræftelse med blot en e-mailadresse og en adgangskode. Version 2.4.2 lukker hullet, men det er ikke nok bare at opdatere: stjålne loginoplysninger virker fortsat.
BTCPay Server, den selvhostede betalingssoftware, som gør det muligt for webshops at tage imod bitcoin, advarede den 7. august 2026 om en sårbarhed, der på det tidspunkt allerede blev udnyttet aktivt. Version 2.4.2, som udkom den 8. august, lukker hullet. Kører du en ældre version, risikerer du at miste dine midler.
Fejlen lå i godkendelseslaget i Greenfield API. Koden tjekkede, om der var registreret en FIDO2-sikkerhedsnøgle, i stedet for om totrinsbekræftelse overhovedet var slået til. Brugere med en almindelig authenticator-app har sjældent en FIDO2-nøgle, og hos dem sprang API dermed helt over det andet trin. En e-mailadresse og en adgangskode var nok.
Det, der allerede er sket
BTCPay Foundations egen Lightning-node blev tømt, før advarslen kom ud. Det samme skete for Citadel21s node, som drives af Hodlonaut. Mindst én anden administrator har meldt om det samme. Et samlet beløb er ikke offentliggjort.
Hullet blev fundet af Craig Raw, udvikleren bag Sparrow Wallet, efter at hans egen node var blevet kompromitteret. Han sporede angrebet gennem serverloggene.
Opdatering er første skridt, ikke det sidste
Det er her, det oftest går galt, og det vejer tungere end selve opdateringen. Loginoplysningerne til din Lightning-node, de såkaldte macaroons, ligger som filer på disken. En angriber, der var inde før patchen, kan have kopieret dem. De virker uændret bagefter, for det ændrer opdateringen ikke på.
Ifølge projektets anvisninger skal du efter opdateringen også udskifte dine Lightning-oplysninger: slet macaroons.db og alle macaroon-filer, og genstart din node. Flyt desuden saldoen fra din on-chain hot wallet til en ny wallet, og skift for integrationer over til API-nøgler med begrænset omfang frem for fuld adgang. Patchen slår fremover Basic Authentication fra som standard, fem minutter efter at en konto er oprettet. Ud over BTCPay selv findes der en tilhørende opdatering til NBXplorer, version 2.6.10.
Hvad det siger om automatiseret test
Der er en ubehagelig detalje i historien. Bitcoin Red Teams audit, som blev afsluttet den 5. august, kom på 27,5 timer gennem 390 open source-projekter og gav 4.962 fund, heraf 85 kritiske. Dette hul var ikke blandt dem.
Det gør ikke auditten værdiløs, men det korrigerer det indtryk, sådan et tal kan give. Automatiseret søgning finder de mønstre, den kender. En logisk fejl, hvor den forkerte betingelse tjekkes, hvor koden gør præcis det, der står, og det, der står, er forkert, slipper let forbi. Hullet blev til sidst fundet af en, der gennemgik sine egne logfiler, efter at han var blevet bestjålet.
Hvad du skal gøre
Kører du selv en BTCPay-instans, er rækkefølgen: opdater først til 2.4.2 via Admin Dashboard, Server, Maintenance, Update, og tjek derefter i sidefoden, at der rent faktisk står 2.4.2. Kan du ikke opdatere med det samme, så tag instansen offline, indtil du kan.
Udskift derefter dine macaroons, og flyt din hot wallet. Springer du det trin over, har du skiftet låsen, men efterladt den gamle nøgle hos den tidligere beboer.
Bruger du ikke BTCPay, men har en webshop, der tager imod bitcoin, så spørg din betalingsudbyder, hvilken version der kører. Og den bredere lære, som også gælder, hvis du intet har med Lightning at gøre: efter et indbrud er det sjældent nok at skifte adgangskode. Sessionstokens, API-nøgler og tilknyttede enheder virker, indtil du selv trækker dem tilbage.
Kilder: BTCPay Server (advarsel af 7. august 2026), Craig Raw (Sparrow Wallet), TechTimes (8. august 2026), Crypto Briefing. Sidst kontrolleret: 9. august 2026.