• 全部
  • 产业
  • Web 3.0
  • DAO
  • DeFi
  • 符文
  • 空投再质押
  • 以太坊
  • Meme
  • 比特币L2
  • 以太坊L2
  • 研报
  • 头条
  • 投资

免责声明:内容不构成买卖依据,投资有风险,入市需谨慎!

BTCPay Server警告:旧版2.4.1版本存在热钱包攻击风险

2026-11-02 18:21:51
收藏

BTCPay Server 警告:针对过时版本的热钱包攻击

据 BTCPay Server 创始人 Nicolas Dorier 透露,周日报告的热钱包资金被盗事件与运行过时版本 BTCPay Server 平台的服务器有关。这些攻击似乎主要针对运行 2.4.2 之前版本的实例,在运营商和更广泛的比特币商户社区中引发了紧急担忧。

攻击针对过时的服务器软件

BTCPay Server 是一个开源的比特币支付网关,被众多商户广泛用于处理加密货币交易。美国东部时间周日下午 5:25,BTCPay 团队发布警报,敦促用户立即使用脚本 ./btcpay-down.sh 关闭任何正在运行的受影响实例,直到关于此次漏洞利用的信息进一步明朗。

大约两小时后,Dorier 确认只有运行 2.4.2 之前版本的服务器受到损害。他澄清称,运行 2.4.7 版本的项目公共服务器未受此次事件影响。

Dorier 表示,团队掌握了针对 2.4.2 版本发布前存在的漏洞进行利用的证据。随后的调查揭示,主要攻击向量专门针对运行 2023 年 7 月 23 日发布的 2.4.1 版本或更早版本的服务器。

运行 2.4.7 版本的 BTCPay 自身基础设施未发生任何入侵,且目前尚无可信报告指出更新至该版本的用户的“热钱包”资金被盗。Dorier 指出,自 2.4.2 版本发布以来至少更新过一次系统的运营商被认为免受近期攻击的影响。他敦促用户不要在热钱包中存放过多资金,并宣布详细的预防指南即将发布。

几家托管提供商采取了主动措施,自动关闭了易受攻击的实例,以防止进一步的利用。BTCPay 公开感谢 LunaNode 和其他服务提供商的快速响应。

BTCPay 团队已要求事件受害者向安全团队发送详细的服务器日志和信息,以协助 ongoing 的调查。

近期攻击影响了此前被认为安全的钱包

BTCPay Server 作为一个自托管平台,这意味着只有服务器运营商——而非 BTCPay 团队——才能控制或关闭商户服务器。在“热钱包”模式下,支付网关使用直接存储在服务器上的种子密钥签署交易,如果未经授权的一方获得访问权限,资金将面临风险。

漏洞的时间线可追溯至八月,当时 BTCPay 发布了 2.4.2 版本以解决一个正在被利用的关键缺陷。包括初始 2.4.2 候选版本在内的先前版本,允许攻击者窃取 Lightning Network Daemon (LND) 的 macaroon 凭据并获得对闪电网络节点的未经授权的访问控制权。

Sparrow Wallet、Foundation 和 Citadel21 的开发者 Craig Raw 报告称,在同一时期他们的闪电网络节点遭到攻击。BTCPay 的修补版本会自动重新生成 LND 的 macaroons,但运行旧版本且暴露了闪电网络节点的运营商必须手动更新凭据才能获得完全保护。

通过 Greenfield API 基本身份验证绕过 TOTP 双因素认证的另一独立问题也在 2.4.2 更新中得到解决。BTCPay 澄清,此错误与 macaroon 漏洞利用无关。

尽管 BTCPay 之前的公告称其在八月的事故中链上钱包未受影响,但周日的事件表明,如果服务器未及时更新,“热钱包”仍然容易受到攻击。BTCPay 和 Dorier 尚未确认最新的攻击是利用了八月的 macaroon 漏洞还是另一个早于 2.4.2 版本的漏洞。

在八月攻击之后,支持者设立了高达 3 BTC 的赏金,用于追回丢失的资金,这相当于任何返还资产的 10%。

比特币支付公司 River 报告称,2025 年商户平均使用的比特币增加了 74%,闪电网络交易量每月超过 10 亿美元。

术语表

BTCPay Server: 一个开源支付处理器,允许商户通过自托管基础设施接受比特币和加密货币。该平台强调用户控制权,但需要 diligent 的安全更新以确保安全操作。

BTCPay Server 版本对比

版本 发布日期 是否易受攻击?
2.4.1 或更早 7月23日或之前 是
2.4.2 8月7日 已修补,若未完全更新仍有风险
2.4.7 10月29日 否

免责声明:

本网站、超链接、相关应用程序、论坛、博客等媒体账户以及其他平台和用户发布的所有内容均来源于第三方平台及平台用户。百亿财经对于网站及其内容不作任何类型的保证,网站所有区块链相关数据以及其他内容资料仅供用户学习及研究之用,不构成任何投资、法律等其他领域的建议和依据。百亿财经用户以及其他第三方平台在本网站发布的任何内容均由其个人负责,与百亿财经无关。百亿财经不对任何因使用本网站信息而导致的任何损失负责。您需谨慎使用相关数据及内容,并自行承担所带来的一切风险。强烈建议您独自对内容进行研究、审查、分析和验证。

展开阅读全文
更多新闻
自选
我的自选
查看全部
市值 价格 24h%