BTCPay 告知商户在热钱包攻击报告期间关闭服务器

BTCPay Server 遭遇攻击，紧急建议用户关闭服务器

免费开源的比特币支付接受工具 BTCPay Server 于周日通知其运营商关闭服务器。此举源于有报道称，黑客正在窃取与其连接的“热钱包”中的资金。

该项目在协调世界时下午 5:25 发布推文称：“我们收到报告，BTCPay Server 上的热钱包正遭到未经授权的攻击者扫荡。”推文进一步指示道：“如果您正在运行实例，请将其关闭（执行 ./btcpay-down.sh），直到我们完成调查。”

漏洞细节与受影响版本

约两小时后，BTCPay 创始人尼古拉斯·多里耶（Nicolas Dorier）表示，这些报告似乎涉及 2.4.2 版本之前的发行版，且攻击者已使用管理员权限登录到受影响的服务器。

周日稍后，项目方确认调查发现，攻击向量针对的是 7 月 23 日发布的 2.4.1 版本或更早版本的实例。“我们没有收到关于运行最新 2.4.7 版本用户的热钱包被盗的可信报告。”项目方敦促所有用户保持软件更新，并要求受影响的用户向安全团队发送详细信息和日志。

据项目方透露，包括 LunaNode 在内的某些托管提供商已自动关闭 BTCPay 实例，以防止旧版本被利用。目前，BTCPay 尚未公布有多少服务器受到影响或损失了多少比特币。

安全风险警示

由于 BTCPay 是自我托管的软件，每位商家都在自己的服务器上运行该程序，因此没有中央运营方可以一键关闭所有实例。商家可以选择运行热钱包功能，即将钱包种子存储在联网服务器上，以便自动签署交易。BTCPay 自身的文档将该功能标记为“危险”，并警告其“存在安全隐患”。

近期安全动态

此次攻击发生在 BTCPay 周四发布 2.4.7 版本仅几天后。该版本作为紧急更新，修复了一个严重漏洞和数个中等严重性漏洞，项目方称这些漏洞是通过 Anthropic 的前沿开源软件扫描器发现的。BTCPay 尚未说明此次攻击是否利用了上述任何漏洞。

这并非该项目今年首次面临安全恐慌。8 月，BTCPay 曾警告称，所有 2.4.2 之前的版本中存在一个正在被积极利用的关键漏洞，并建议用户更新或关闭服务器。随后，项目支持者资助了一项恢复悬赏，金额为返还被盗资金的 10%，上限为 3 BTC。