- BTCPay 服务器在发现一个严重漏洞正被积极利用后发布了 2.4.2 版本。.
- 该漏洞允许受 TOTP 保护的账户通过 Greenfield API 基本身份验证绕过双因素身份验证，但它影响的是 BTCPay 的应用层，而不是 Bitcoin 本身。.
- 运营商被敦促升级 BTCPay 服务器，将 NBXplorer 更新到 2.6.10 版本，检查访问日志，并尽可能使用范围 API 密钥而不是基本身份验证。.
开源软件） Bitcoin由于存在可能被利用来窃取用户资金的漏洞， BTCPay Server （商家用来接受已推出紧急更新。
正如我dent在 GitHub pull request #7491那样，此漏洞使网络犯罪分子能够通过 BTCPay 的 Greenfield API 基本身份验证绕过 TOTP 双因素安全机制。该漏洞的原因在于，身份验证机制检查的是是否已注册有效的 FIDO2 凭据，dent即可访问 APIdent。
需要注意的是，该漏洞存在于 BTCPay 的应用层，而不是 Bitcoin (BTC) 协议中。.
BTCPay于8月7日发布了 2.4.2版本 ，同时建议用户确保已将NBXplorer更新至2.6.10版本。此次软件升级修复了一个目前正在被利用的“严重漏洞”。
一个对支付恐慌不以为意的市场
支付系统持续受到安全问题的困扰，但 Bitcoin其市场价格和估值相对稳定。 Bitcoin 交易 价格约为 64,889 美元，较前一日仅上涨 0.82%，而其 1.3 万亿美元的市值也仅上涨了 0.79%。虽然交易活动有所活跃，24 小时交易量增长了 20.98%，但价格和市值的相对稳定表明，此次事件dent 对 Bitcoin的整体市场估值产生影响。
这种低调的反应是可以理解的。BTCPay漏洞只会影响个别商家和运营商，而不会影响 Bitcoin的共识规则或加密技术。.
然而，这并不意味着它无关紧要。BTCPay在之间 Bitcoin 链运行正常，一旦运营商账户遭到攻击，仍有可能造成实际的经济损失 Bitcoin 。网络和企业的支付系统建立连接，这些企业负责开具发票、接收付款和管理钱包。因此，即使区块
BTCPay 指示运营商采取的行动
解决此问题的直接方法很简单：将 BTCPay Server 升级到 2.4.2 版本，对于集成商，将 NBXplorer 升级到 2.6.10 版本。.
BTCPay 表示，使用应用程序编程接口 ( API ) 密钥比基本身份验证更好，因为 API 密钥可以更有效地限制权限。新补丁还对身份验证流程进行了更改，使其能够检查双因素身份验证 (2FA) 是否真正激活，从而堵住了 TOTP 保护账户绕过第二层身份验证的漏洞。
由于 BTCPay 是自托管的，运营商无法依赖中央提供商来为他们实施补丁。.
Bitcoin支付体系遭遇第三次打击
经历动荡的一周 Bitcoin支付系统 Cryptopolitan 曾报道， 闪电网络钱包因系统安全问题而暂停了其支付基础设施的运行，其他闪电网络服务提供商也受到了影响。
这些事件并不意味着 Bitcoin 支付协议存在任何缺陷。然而，它们确实表明，围绕区块链构建的软件引入了多少额外的安全风险。.
2024 年，东北大学和代尔夫特理工大学的研究人员进行了一项研究，他们使用形式化建模来识别dent单跳支付协议中的安全问题，包括一种新的“支付竞争”攻击。
另一项2026年的研究调查了 余额发现攻击，发现攻击者可以推断出闪电网络通道的余额信息。该研究提出的缓解措施在模拟中将信息增益降低了高达62%。
这两项研究都揭示了一个更重要的事实： Bitcoin 的安全性不仅仅取决于区块链。钱包、应用程序接口（API）、支付处理器以及闪电网络基础设施都引入了额外的安全漏洞。.
这并非BTCPay首次出现严重漏洞
BTCPay 此前曾遭遇过严重的安全漏洞。2023 年 1 月，该公司报告了 CVE-2022-32984，该漏洞导致严重信息泄露，影响了 BTCPay 的 1.3.0、1.4.0 和 1.5.3 版本。
该漏洞可能通过公开的销售点应用程序泄露敏感的商店信息，甚至可能暴露与外部节点关联的 xpub 和 Lightningdent。BTCPay 在 1.5.4 版本中修复了此问题，并随后向研究员 Antoine Poinsot 支付了 5,000 美元的赏金。.
区别很明显：2023 年的攻击是信息泄露，而最近的漏洞与通过 Greenfield API 绕过 TOTP 安全性的身份验证问题有关。.
为什么商家现在损失更大
市场竞争 Bitcoin 在支付领域价值日益凸显， 平均额 Bitcoin 使用 就增长了 74%，而闪电网络的使用量更是增长了 300%，月交易量突破 10 亿美元。
周边基础设施也至关重要。BuiltWith 检测到 248 个网站 使用 BTCPay 服务器，其中包括 74 个活跃网站，但这些数字不包括私有或其他无法检测到的安装。
此外，1ML 的最新快照显示，目前有 6,280 个 Lightning 节点、21,221 个通道，当前网络容量为 2,818.49 BTC。
即使 Bitcoin 的基础层没有受到任何影响，这种规模也会使周围基础设施的漏洞更加严重。.
BTCPay 事件并非表明 Bitcoin 本身存在缺陷，而是表明基于 Bitcoin 构建的企业将承担更广泛的安全负担。区块链本身或许仍在运行，但商家使用的应用程序可能成为安全漏洞。.
对于 BTCPay 运营商而言，首要任务很简单：升级到 2.4.2 版本，评估身份验证日志和访问日志是否存在泄露迹象，并在可能的情况下使用特定的 API 密钥而不是基本身份验证。.
最顶尖的加密货币专家都在阅读我们的简报。想 加入他们？
常见问题解答
BTCPay服务器运营商现在应该做什么？
根据 BTCPay Server 8 月 7 日在 X 上发布的帖子，通过管理控制面板的服务器维护部分更新到 2.4.2 版本，然后确认页脚中出现 2.4.2 版本字符串。.
BTCPay服务器之前是否出现过严重漏洞？
是的。CVE-2022-32984，在 1.3.0 到 1.5.3 版本中披露，会泄露商店的 xpub 以及外部节点上公开的销售点应用程序中的 Lightningdent，该漏洞已在 v1.5.4 中修复。.
BTCPay漏洞是否影响了 Bitcoin的价格？
在这一系列支付基础设施dent中，市场并未出现明显的广泛反应；据 Cryptopolitan报道，8 月 6 日 Bitcoin 交易价格接近 64,600 美元，根据 CoinMarketCap 的数据，下跌幅度略超过 1%。.
免责声明：本页面提供的信息并非交易建议。Cryptopolitan.com对任何基于本页面信息进行的投资概不负责。我们tron您在做出任何投资决定前进行独立dent /或咨询合格的专业人士。Cryptopolitan研究
米卡·阿比奥顿
Micah Abiodun充分利用他在塔林理工大学（TalTech）获得的环境工程与管理硕士学位，为 Cryptopolitan撰写内容和价格预测新闻。如今，他已在加密货币媒体领域耕耘七年，报道主流加密货币、山寨币、 DeFi、稳定币、宏观趋势和新兴技术。
