比特币自托管支付软体 BTCPay Server 周一揭露最新攻击手法，证实已有营运者的热钱包遭不明人士掏空，紧急呼吁还在跑旧版软体的节点立刻关机。 官方初步锁定 7 月发布的 2. 4. 1 及更早版本为破口，同时强调最新版 2. 4. 7 尚未接获可信的失窃通报。 （前情提要：BTCPay Server 爆重大漏洞！ Foundation Lightning Node 被清空） （背景补充：比特币闪电网路拉响资安警报！ Blockstream 旗下节点软体 Core Lightning 遭 AI 揪出隐藏漏洞） 比特币自托管支付软体 BTCPay Server 周一证实，已有营运者的热钱包遭不明人士掏空，并在调查后锁定一条专门攻击旧版软体的攻击路径。 这款让商家自行架设节点、直接收取比特币的开源工具，官方在 11 月 2 日透过 官方帐号说明，问题出在仍执行 2. 4. 1 或更早版本的例项，而该版本早在今年 7 月 23 日就已发布。 BTCPay Server 表示，最新发布的 2. 4. 7 版本目前没有接获任何可信的热钱包失窃通报，因此呼吁所有节点营运者尽快更新手上安装的版本。 换句话说，这轮灾情的破口并不在程式码本身，而在「跑著旧版、迟迟没更新」的营运习惯。 这并非官方第一次示警。 在确认攻击路径之前，BTCPay 就已先在 另一则公告中要求营运者先关闭伺服器例项，并附上完整的关机操作指引，等调查厘清后再重启。 截至目前，BTCPay 仍未对外公布受影响的营运者数量、失窃资金的具体金额，也没有说明攻击者究竟是如何取得钱包存取许可权，只请受害使用者把相关资讯与伺服器日志提交给官方资安团队。 外界追问下，官方在截稿前并未回覆进一步说明。 也就是说，这起事件的损失规模仍是个黑数，而受害商家最需要的技术细节，同样付之阙如。 不到三个月前的旧伤，是否同一条路径？ 把时间往回推，这已是 BTCPay 今年第二度卷入失窃风波。 今年 8 月，该专案曾因一起漏洞攻击而限制远端闪电网路（Lightning）存取；当时攻击者取得闪电网路节点常驻程式（LND）的凭证后直接搬走资金。 两起事件相隔不到三个月，官方目前仅表示，最新这条攻击路径是否与 8 月的漏洞相关，仍待厘清。
来源：动区动趋
本文由 GTokenTool 摘编，版权归原作者所有；内容仅供参考，不构成投资建议。