GENERAL BYTES stellt Kryptowährungsautomaten in Tschechien her. Das Unternehmen liefert BATM genannte Geräte und das Verwaltungssystem Crypto Application Server, kurz CAS. Ein solcher Automat funktioniert wie eine Wechselstube: Man kauft Kryptowährung mit Bargeld; manche Modelle ermöglichen auch den umgekehrten Tausch. Der Hersteller liefert die Technik. Die Bedingungen und den Kundendienst für den konkreten Kauf findet man beim jeweiligen Betreiber.
Stellen Sie sich vor, Sie möchten Bitcoin mit Banknoten kaufen. Statt sich bei einer Börse anzumelden, gehen Sie zu einem Automaten und geben Ihre Wallet-Adresse an. Für diese Art des Tauschs liefert GENERAL BYTES die Technik. Die eigene Firmenchronik nennt 2013 als Gründungsjahr in Prag und 2014 für den ersten öffentlich aufgestellten Automaten. Verkaufte Geräte zählen bisherige Lieferungen, nicht aktuell betriebsbereite Standorte oder unabhängig geprüfte Kunden. [1]
Läuft ein Kauf nicht wie erwartet, kommt es darauf an, wer diesen Automaten betreibt. GENERAL BYTES verweist Kunden mit konkreten Transaktionsproblemen an den Betreiber. Allein die Herstellermarke verrät weder Wechselkurs und Gebühren noch Zahlungsempfänger oder Zuständigkeit für Erstattungen. Vor dem Kauf lohnt es sich deshalb, die Bedingungen zu lesen und den Kontakt des Dienstanbieters zu kennen, statt nur den Gerätenamen zu beachten. [2]
Ein Einweg-BATM nimmt Bargeld für den Kauf von Kryptowährung an. Ein Zweiweg-Modell kann zusätzlich Kryptowährung annehmen und Bargeld auszahlen. Nicht jeder Automat derselben Marke bietet daher beides. Entscheidend sind Modell, Ausstattung und Einstellungen des Betreibers. Unterstützt die Produktreihe beispielsweise den Verkauf von Bitcoin, garantiert das noch nicht, dass das ausgewählte Gerät bei Ihrem Besuch Banknoten auszahlen kann. [2]
CAS, der zentrale Verwaltungsserver, verarbeitet Anfragen des BATM-Terminals. Je nach Konfiguration kommuniziert er mit einer Börse und mit Hot Wallets, also online verfügbaren Wallets für laufende Zahlungen. Bei einem Kauf kann Bitcoin so aus einer angeschlossenen Wallet an die Kundenadresse gehen. Laut Hersteller verwahrt das Terminal selbst keine Kryptowährung. Sicherheit endet deshalb nicht am stabilen Gehäuse: Auch Zugänge zu Server, Wallets und verbundenen Dienstkonten müssen geschützt sein. [3]
Ein Betreiber möchte vielleicht eine andere Börse oder Wallet anbinden. Dafür gibt es CAS-Erweiterungen. Das öffentliche Repository batm_public enthält Beispiele, Testwerkzeuge und eine Java API: eine Schnittstelle, über die in Java geschriebene Programme mit dem System zusammenarbeiten. Der veröffentlichte Erweiterungscode belegt jedoch nicht, dass sämtliche Produktbestandteile quelloffen sind. Eigene Ergänzungen müssen außerdem gepflegt und auf Kompatibilität mit der eingesetzten CAS-Version geprüft werden. [4]
Die Mitteilung zum 17.–18. März 2023 beschrieb, wie ein Angreifer über die Serverschnittstelle eine eigene Anwendung ausführte. Dadurch erhielt er Zugang zur Datenbank und zu API-Schlüsseln, den Zugangsdaten für angeschlossene Wallets und Börsen. Solche Daten können auch das Versenden von Guthaben erlauben. Die Abhilfe umfasste deshalb neu aufgesetzte Server und ausgetauschte Zugangsdaten neben dem Softwareupdate. Den ursprünglichen Zugang zu schließen und bereits gestohlene Berechtigungen zu entziehen sind unterschiedliche Aufgaben. [5]
Im Bericht zum 22. Juli 2026 beschrieb das Unternehmen einen eigenständigen CAS-Vorfall. Es nannte eine unzureichend abgesicherte Hessian-Bibliothek zur Verarbeitung empfangener Daten und eine fehlerhafte Prüfung des Terminal-Fingerabdrucks. Gemeint ist die Identifizierung des angeschlossenen Geräts, nicht der Finger eines Kunden. Auch die eigene Infrastruktur sei betroffen gewesen. Die frühere Korrektur von 2023 belegt somit keine Lösung dieses späteren Problems; für jede Meldung gelten eigener Umfang und eigene Abhilfeschritte. [6]
Der August-Nachtrag zum Bericht von 2026 schilderte einen Einbruch in Sentry, ein System für Diagnosedaten. Laut Unternehmen könnten Angreifer CAS-Serveradressen und Bilder von QR-Codes erhalten haben, die Geräte nicht lesen konnten. Nach Herstellerangaben enthielten diese Bilder Adressen, keine privaten Schlüssel. Diese Unterscheidung ist wichtig, dennoch handelt es sich um sensible Betriebsdaten. Automaten können außerdem die Identität ihrer Kunden prüfen. Banknoten allein machen einen Kauf daher nicht anonym. [6] [2]
Für ein möglichst vollständiges Bild lies diesen Eintrag zusammen mit Bitcoin, Custodial Exchange, Selbstverwahrung. Auf diesen Eintrag verweisen außerdem Prager Bitcoin-Ökosystem, Stackuj, Bitcoin-Zahlung bei Alza.