Lightning-Sicherheitswarnung: Alby deckt kritische Sicherheitslücke im Hub auf

Das Lightning-Projekt Alby bestätigt kritische Schwachstelle in älteren Hub-Versionen

Das Team gab das Problem am Mittwoch auf der Social-Media-Plattform X bekannt und erklärte: „Wir haben eine kritische Sicherheitslücke in Alby Hub v1.7.0–v1.18.5 (Versionen vor August 2025) bestätigt, die auftritt, wenn der Hub über das Internet öffentlich zugänglich ist.“

Diese Sicherheitslücke, so der offizielle Alby-X-Account, könnte es einem Angreifer, der Zugriff auf die Verwaltungs-API des Hubs hat, ermöglichen, sich unbefugt Zugang zu verschaffen und Gelder zu überweisen. Alby fuhr fort:

„Alby Hub v1.19.0 (veröffentlicht am 29. August 2025) oder neuere Versionen sind nicht betroffen. Wie bei jedem Vorfall dieser Art tut es uns zutiefst leid – vor allem für die betroffenen Nutzer. Nach unserem derzeitigen Kenntnisstand ist ein Nutzer betroffen, der uns diese Details glücklicherweise gemeldet hat. Wir haben unsere gesamte Energie und alle Ressourcen der letzten Jahre in dieses Projekt gesteckt, und ein Problem wie dieses trifft uns hart.“

Für Personen, die möglicherweise von dem Fehler betroffen sind, rät Alby, als Erstes zu überprüfen, welche Version sie installiert haben. Falls ein Nutzer eine betroffene Version verwendet, muss er den öffentlichen Zugriff auf die Verwaltungsoberfläche seines Hubs sperren und umgehend auf v1.24.0, die neueste Version von Alby Hub, aktualisieren. Alby dankte außerdem den Entwicklern des Bitcoin Red Teams, die „mehrere Probleme gemeldet haben, die in der neuesten Version behoben wurden“.

Betroffene Nutzer, deren System mit dem Internet verbunden war, sollten nach dem Update außerdem ihr Entsperrpasswort ändern. Diese Meldung folgt auf das jüngste Problem mit Boltz, einem weiteren auf das Lightning Network ausgerichteten Protokoll, das eine nicht-verwahrende Brücke bereitstellt. Die Plattform bewegt Bitcoin im Wesentlichen zwischen der Mainchain, dem Lightning Network und dem Liquid Network mithilfe von atomaren oder Submarine-Swaps, die auf HTLC basieren. Am 3. August 2026 nahm Boltz die Swaps vom Netz.

KI-gestützte Angriffe setzen Lightning-Projekte unter Druck

Damals erklärte das Unternehmen, es handele sich nicht nur um einen einzigen Fehler, sondern um monatelange automatisierte, durch künstliche Intelligenz (KI) unterstützte Sondierungsversuche, einige wenige eingeschränkte Exploits und anschließend eine starke Beschleunigung. Wie es in ihrer offiziellen Stellungnahme hieß, agieren die Angreifer „mittlerweile schneller, als ein Team unserer Größe die Schwachstellen finden und beheben kann“.

Nachdem das Boltz-Team eigene KI-gestützte Scans durchgeführt hatte, erklärte es, dass es die Swaps nicht sicher wieder aktivieren könne, solange „mehrere findige Gruppen“ aktiv gegen sie vorgehen. Tatsache ist, dass KI Fehler im gesamten Kryptowährungs-Ökosystem schneller aufdeckt als jemals zuvor in der Geschichte.

Beide Projekte sind Lightning-nahe, Open-Source-Projekte mit „You keep the keys“-Design. Für die Zukunft betont Albys Team, dass Nutzer die neueste Version des Hubs verwenden müssen. Das Unternehmen erklärte außerdem, dass Nutzer vermeiden sollten, ihren Hub dem offenen und öffentlichen Internet auszusetzen. „Wir empfehlen, ihn hinter einer Firewall oder innerhalb eines privaten Netzwerks zu betreiben“, betonte Alby.