BTCPay Server：舊版漏洞致熱錢包資金被盜，建議用戶立即遷移

ChainCatcher 消息，開源比特幣支付處理工具 BTCPay Server 收到多起報告，稱其平台上的比特幣和萊特幣熱錢包遭到未經授權的資金盜取。專案團隊發布調查更新，確認攻擊針對運行 BTCPay Server 2.4.1 版本或更早版本的伺服器。攻擊者利用了已於 8 月 7 日在 2.4.2 版本中修復的漏洞，通過不同方法獲取伺服器管理員權限並清空熱錢包資金。

BTCPay Server 創始人 Nicolas Dorier 確認，只有運行 2.4.2 之前版本，尤其是 2.4.1 版本的伺服器受到影響；運行最新 2.4.7 版本的用戶尚未出現可信的損失報告。部分受影響的服務商，包括 LunaNode，已自動關閉存在風險的舊版實例。官方建議仍使用 2.4.1 或更早版本的用戶立即將舊熱錢包中的剩餘資金轉移至使用全新助記詞創建的新錢包，將舊伺服器下線並保留相關日誌，隨後在全新虛擬機上安裝最新版本並連接新錢包，切勿將舊伺服器整體恢復至新機器。

僅更新軟體版本不足以消除風險，因為攻擊者可能已在舊伺服器上獲得持久訪問權限。存放在伺服器之外的資金，例如硬體錢包中的資金，未受到此次事件影響。該漏洞與今年 8 月修復的漏洞相關，當時攻擊者曾通過獲取 LND 管理憑證操控節點。截至目前，該漏洞尚未被分配 CVE 編號，也不在 CISA 已知被利用漏洞目錄中。