开源比特币收款系统BTCPay Server 在北京时间11 月2 日清晨6 点25 分于X 发出警告，表示陆续接到回报，商家伺服器上的热钱包遭未经授权的攻击者转走资金。官方要求所有自架伺服器的营运者先执行关机指令，直到调查完成。

不到6 小时后，官方更新调查结果，攻击路径锁定2.4.1 版及更旧的版本，最新的2.4.7 版至今没有可信的热钱包遭清空回报。被盗金额与受害伺服器数量，官方目前都还没有公布。

创办人Dorier：攻击者以管理员身分登入2.4.2 之前的服务器

BTCPay Server 创办人Nicolas Dorier 在官方示警约两小时后发文说明，专案自己执行2.4.7 版的公开伺服器没有遭到攻击，目前的回报看起来都发生在2.4.2 之前的版本。

他说，攻击者是以管理员身分登入这些伺服器，「我们还在查对方是怎么做到的。」

约一个半小时后，Dorier补充，团队已找到2.4.2 之前的漏洞遭到利用的痕迹。中午12 点22 分他回复用户时表示，所有回报已经整理完毕，版本高于2.4.2 的伺服器都没有受到影响。

官方锁定2.4.1 以前版本，代管业者已先替用户关机

BTCPay Server 在中午12 点07 分的更新公告写明，调查找到的攻击途径锁定7 月23 日发布的2.4.1 版或更旧的版本，并再次呼吁所有人保持更新。受害者可以把完整经过与系统纪录寄到security@btcpayserver.org 。

官方也提到，透过代管业者架设BTCPay Server 的商家，伺服器可能已被业者自动关机，以免旧版本遭到利用，并点名感谢LunaNode 等业者在第一则公告后迅速处理。

热钱包会把私钥存在连网的伺服器上，让伺服器能自行签署、送出交易，拿到伺服器控制权的人也就能把钱转走。 Dorier 回应网友时说，这次看起来不是新漏洞，但他仍提醒：「放进热钱包的钱，不要超过你能承受损失的金额，我们无法保证这种事不会再发生。」

8 月2.4.2 版修补的漏洞曾让闪电网络节点遭清空

2.4.2 版在8 月7 日发布，当时官方说它修补了一个正遭实际利用的严重漏洞，要求用户尽快更新，链新闻当时也报导过这起漏洞与官方的升级呼吁。

根据BTCPay Server 当时的安全公告，该漏洞让未经验证的远端攻击者能取得LND 闪电网路节点的凭证档，进而控制节点、转走资金，官方确认已有用户资金被盗。公告同时写明，BTCPay Server 内建的链上钱包，包括热钱包，不受那次漏洞影响。

这次遭盗的则是热钱包。 Dorier 目前只说攻击者利用的是「2.4.2 之前的漏洞」，还没说明是哪一个，他表示细节会在后续的部落格文章公布。

本文链接地址：https://www.wwsww.cn/btbzixun/42238.html
郑重声明：本文版权归原作者所有，转载文章仅为传播更多信息之目的，如作者信息标记有误，请第一时间联系我们修改或删除，多谢。