BTCPay Server：旧版漏洞致热钱包资金被盗，建议用户立即迁移

ChainCatcher 消息，开源比特币支付处理工具 BTCPay Server 收到多起报告，称其平台上的比特币和莱特币热钱包遭到未经授权的资金盗取。项目团队发布调查更新，确认攻击针对运行 BTCPay Server 2.4.1 版本或更早版本的服务器。攻击者利用了已于 8 月 7 日在 2.4.2 版本中修复的漏洞，通过不同方法获取服务器管理员权限并清空热钱包资金。

BTCPay Server 创始人 Nicolas Dorier 确认，只有运行 2.4.2 之前版本，尤其是 2.4.1 版本的服务器受到影响；运行最新 2.4.7 版本的用户尚未出现可信的损失报告。部分受影响的服务商，包括 LunaNode，已自动关闭存在风险的旧版实例。官方建议仍使用 2.4.1 或更早版本的用户立即将旧热钱包中的剩余资金转移至使用全新助记词创建的新钱包，将旧服务器下线并保留相关日志，随后在全新虚拟机上安装最新版本并连接新钱包，切勿将旧服务器整体恢复至新机器。

仅更新软件版本不足以消除风险，因为攻击者可能已在旧服务器上获得持久访问权限。存放在服务器之外的资金，例如硬件钱包中的资金，未受到此次事件影响。该漏洞与今年 8 月修复的漏洞相关，当时攻击者曾通过获取 LND 管理凭证操控节点。截至目前，该漏洞尚未被分配 CVE 编号，也不在 CISA 已知被利用漏洞目录中。