btcpay

ChainCatcher 消息，开源比特币支付处理工具 BTCPay Server 收到多起报告，称其平台上的比特币和莱特币热钱包遭到未经授权的资金盗取。项目团队发布调查更新，确认攻击针对运行 BTCPay Server 2.4.1 版本或更早版本的服务器。攻击者利用了已于 8 月 7 日在 2.4.2 版本中修复的漏洞，通过不同方法获取服务器管理员权限并清空热钱包资金。BTCPay Server 创始人 Nicolas Dorier 确认，只有运行 2.4.2 之前版本，尤其是 2.4.1 版本的服务器受到影响；运行最新 2.4.7 版本的用户尚未出现可信的损失报告。部分受影响的服务商，包括 LunaNode，已自动关闭存在风险的旧版实例。官方建议仍使用 2.4.1 或更早版本的用户立即将旧热钱包中的剩余资金转移至使用全新助记词创建的新钱包，将旧服务器下线并保留相关日志，随后在全新虚拟机上安装最新版本并连接新钱包，切勿将旧服务器整体恢复至新机器。仅更新软件版本不足以消除风险，因为攻击者可能已在旧服务器上获得持久访问权限。存放在服务器之外的资金，例如硬件钱包中的资金，未受到此次事件影响。该漏洞与今年 8 月修复的漏洞相关，当时攻击者曾通过获取 LND 管理凭证操控节点。截至目前，该漏洞尚未被分配 CVE 编号，也不在 CISA 已知被利用漏洞目录中。

ChainCatcher 消息，BTCPay Server 表示收到热钱包资金遭未授权攻击者转走的报告，建议实例运营者在调查完成前关停服务器。

ChainCatcher 消息，BTCPay Server 已通过其 Docker 安装器更新可选的 WooCommerce/WordPress 部署，以应对近期披露的严重 PHP 漏洞。通过 BTCPay Server 运行 WooCommerce 的用户应立即更新，可直接在 BTCPay Server 内点击 “Update” 完成。

ChainCatcher 消息，据 The Block 报道，比特币开源支付处理器 BTCPay Server 支持者已承诺设立追回赏金：追回资金的 10% 将作为奖励，若全额追回则上限为 3 枚 BTC。BTCPay 上周五披露一个严重漏洞正在被积极利用，敦促用户尽快升级。该漏洞允许攻击者获取 LND 管理员凭证，从而完全控制连接的闪电钱包。BTCPay 表示链上钱包（含热钱包）不受影响，未披露总损失金额和受影响节点数量。

ChainCatcher 消息，据 Cointelegraph 报道，BTCPay 服务器已暂时限制对运行 Lightning Network Daemon (LND) 软件的 Lightning Network 节点的公共远程连接，此前攻击者利用一个严重漏洞获取了凭证并转移了资金。BTCPay 表示，此限制可防止 Zeus 等外部钱包通过 BTCPay 服务器域名进行连接。BTCPay 表示，Lightning 支付可以继续进行，并计划在认为安全时恢复远程访问选项。

ChainCatcher 消息，据 Decrypt 报道，比特币支付处理项目 BTCPay Server 警告用户，其服务器存在一个正在遭受主动攻击的严重漏洞，攻击者可能利用该漏洞获取未授权访问权限并导致资金损失。要求管理员立即升级至 2.4.2 版本，并确认服务器页脚显示更新完成。若无法及时升级，官方建议用户暂时关闭 BTCPay Server，以防止进一步攻击。此外，BTCPay Server 建议用户更换可能暴露的 macaroons 凭证，重新创建 macaroons.db 文件，并刷新其他闪电网络后端的认证字符串。

ChainCatcher 消息，Bitcoin News 在 X 平台发文表示，BTCPay Server 称，一个严重漏洞正被主动利用，可能导致资金损失。用户应立即更新至 BTCPay Server v2.4.2；无法立即更新的用户应关闭其 BTCPay Server，直至可安装更新，以防止未经授权访问。

ChainCatcher 消息，Tether 宣布向 BTCPay Server 基金会授予 10 万美元的赞助金，以支持自由和开放源代码软件（FOSS）的发展。 据悉，BTCPay Server 基金会致力于推进金融隐私和自由，其开源支付处理软件使得全世界成千上万的商家和企业能够免费自定义使用，接受比特币和 Tether USD（USDt）支付（通过 Liquid 网络）。