- BTCPay Server 创始人 Nicolas Dorier 表示，周日的热钱包扫荡似乎涉及运行早于 2.4.2 版本的服务器。
- 攻击者在这些实例中以管理员身份登录，而团队尚不清楚具体是如何做到的。
- BTCPay 发现了一个针对 2.4.1 或更早版本的攻击向量，且没有关于 2.4.7 的可信资金被盗报告。
BTCPay Server 创始人 Nicolas Dorier 表示，周日报告的热钱包扫荡似乎涉及运行早于 2.4.2 版本的服务器。
攻击者在这些实例中以管理员身份登录，团队仍在调查具体方法。
调查将攻击向量锁定在 2.4.1 或更早版本
BTCPay 于美东时间周日傍晚 5:25 发出了一份警告。它建议任何运行实例的人在下达调查结束前，使用 ./btcpay-down.sh 关闭其实例。
Dorier 在约 2 小时后发帖表示，运行 2.4.7 版本的 BTCPay 自有公共服务器并未遭到攻击。
多里埃后来表示团队有迹象表明“2.4.2 之前的漏洞被利用了”。
BTCPay 在美东时间晚上 11:07 的更新缩小了目标范围。调查发现攻击向量针对的是在 7 月 23 日或更早版本发布的 2.4.1 实例。
该项目指出，自 10 月 29 日发布的 2.4.7 版本中，“没有收到用户关于热钱包资金被盗的可靠报告”。它建议运营商保持软件更新，并要求受害者向安全团队发送详细信息和日志。
一些托管提供商可能已自动关闭实例以防止旧版本被利用。BTCPay 感谢LunaNode及其他人的迅速行动。
自 2.4.2 发布以来至少更新过一次的操作人员“没有理由恐慌”，多里埃说。他还警告用户不要在热钱包中存放太多资金，并承诺将发布一篇包含更多细节的博客文章。
周日的资金盗刷涉及了此前 8 月安全公告判定为安全的资金
由于 BTCPay 是自托管的，该项目无法更改商家的服务器或将其关闭。其热钱包模式使用该服务器上存储的种子对支付进行签名，这意味着控制该服务器的人可以转移这些硬币。
2.4.2 版本线可追溯至八月。BTCPay 于 8 月 7 日发布了 2.4.2 版本，以修补一个已遭攻击的严重漏洞，Cryptopolitan对此进行了报道。
包括 2.4.2 候选版本在内的所有先前版本，均允许未经身份验证的攻击者窃取 LND macaroon 凭据。攻击者可接管 Lightning 节点并利用其转移资金。
Foundation 和 Citadel21 报告称其 Lightning 节点遭到攻击。Sparrow Wallet 开发者 Craig Raw 也表示自己受到了影响。
随着 2.4.2 版本的发布，LND 的 macaroons 被自动重新生成。当运营商通过自己的代理、Tor 服务或转发端口暴露 LND 时，他们必须手动更改这些凭据。
2.4.2 版本还修复了 Greenfield API Basic Authentication 中的 TOTP 双因素绕过漏洞（于 8 月 4 日报出）。BTCPay 表示，该漏洞与 macaroon 黑客攻击无关。
BTCPay 的 公告指出，其自身的链上钱包（包括热钱包）未受该漏洞影响。周日有报道称热钱包遭到扫荡。
BTCPay 和 Dorier 均未说明攻击者是利用了八月的 macaroon 漏洞还是其他 2.4.2 之前的漏洞。在八月，支持者设立了一笔恢复 赏金，金额为返还资金的 10%，最高可达 3 BTC。
River 报告称，2025 年比特币的平均商户使用量增长了 74%，闪电网络月交易量突破 10 亿美元。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
BTCPay Server 要求运营商做什么？
在调查结束前，使用 `./btcpay-down.sh` 关闭他们的实例。
8 月初的事件中热钱包受到影响了吗？
没有。BTCPay 表示，其链上钱包（包括热钱包）未受 8 月漏洞的影响。
哪些 BTCPay 版本存在 8 月漏洞的风险？
2.4.2 之前的所有版本（包括候选版本）都暴露了 LND macaroon 凭据。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
