Het opensource-betaalplatform BTCPay Server is vorige week getroffen door een aanval waarbij Lightning-wallets van webshops leeg werden gehaald. Het project looft nu een beloning uit van maximaal 190.000 dollar voor wie helpt de gestolen bitcoin terug te halen. Het incident legt een gevoelige plek bloot in de infrastructuur waarmee ondernemers rechtstreeks bitcoin accepteren.
Wat er precies gebeurde
Volgens het BTCPay-team wisten aanvallers inloggegevens van LND te bemachtigen. LND, voluit Lightning Network Daemon, is de software die een Lightning-knooppunt aanstuurt en het geld beheert. Met die credentials konden de aanvallers de gekoppelde wallets van meerdere webshops leegtrekken. Lightning is het snelle betaalnetwerk bovenop Bitcoin dat kleine transacties vrijwel direct en goedkoop afwikkelt.
De omvang van de totale schade is nog niet volledig in kaart gebracht. Duidelijk is wel dat het gaat om saldi die ondernemers actief in hun betaal-wallet aanhielden, geld dat dagelijks in beweging is en daarom niet in een beveiligde koude opslag stond.
Beloning tot drie bitcoin
Om de aanvallers onder druk te zetten en het geld terug te krijgen, biedt BTCPay tien procent van de teruggehaalde bedragen aan, met een plafond van drie BTC. Bij de huidige koers komt dat neer op ongeveer 190.000 dollar. Zulke bounties zijn in de cryptowereld een beproefde tactiek: ze geven een aanvaller een uitweg om een deel van de buit te houden in ruil voor het teruggeven van de rest, zonder dat hij het risico loopt alles te verliezen bij een strafrechtelijk onderzoek.
Of die aanpak werkt, valt nog te bezien. De uitkomst hangt sterk af van of de aanvaller anoniem wil blijven en of de gestolen bitcoin traceerbaar over openbare adressen beweegt. Van teruggave is voorlopig geen sprake.
Zwakke plek zit in het beheer, niet in Bitcoin zelf
Het is belangrijk om onderscheid te maken. De aanval raakt niet het Bitcoin-protocol of het Lightning Network als zodanig, maar de manier waarop toegang tot een individueel knooppunt is beveiligd. Wie de sleutels en inloggegevens van een Lightning-node in handen krijgt, heeft feitelijk de controle over het saldo. Dat maakt sleutelbeheer de achilleshiel van zelf-gehoste betaalsystemen.
Juist die zelfsoevereiniteit is de aantrekkingskracht van BTCPay. Ondernemers kunnen bitcoin ontvangen zonder tussenpersoon en zonder dat een externe partij een deel van de omzet afroomt. De keerzijde is dat ook de verantwoordelijkheid voor de beveiliging volledig bij de gebruiker ligt. Er is geen bank of beursbeheerder die verloren geld vergoedt.
Wat het betekent voor de bredere markt
Incidenten als dit voeden het terugkerende debat over de balans tussen gemak, controle en veiligheid. Voor grotere webshops en Europese ondernemers die met bitcoinbetalingen experimenteren, onderstreept het dat een Lightning-node dezelfde discipline vergt als een bedrijfskritisch IT-systeem: strak beheer van rechten, gescheiden bewaring van sleutels en het beperken van de saldi die online in beweging staan.
Het is nog te vroeg om conclusies te trekken over de gevolgen voor het vertrouwen in zelf-gehoste betaaloplossingen. De aanpak van BTCPay, transparant communiceren en een beloning uitloven, wordt in de sector doorgaans positief ontvangen. Maar zolang het geld niet terug is, blijft dit vooral een waarschuwing: de kracht van eigen beheer is tegelijk het grootste risico.
