btcpay

ChainCatcher 消息，開源比特幣支付處理工具 BTCPay Server 收到多起報告，稱其平台上的比特幣和萊特幣熱錢包遭到未經授權的資金盜取。專案團隊發布調查更新，確認攻擊針對運行 BTCPay Server 2.4.1 版本或更早版本的伺服器。攻擊者利用了已於 8 月 7 日在 2.4.2 版本中修復的漏洞，通過不同方法獲取伺服器管理員權限並清空熱錢包資金。BTCPay Server 創始人 Nicolas Dorier 確認，只有運行 2.4.2 之前版本，尤其是 2.4.1 版本的伺服器受到影響；運行最新 2.4.7 版本的用戶尚未出現可信的損失報告。部分受影響的服務商，包括 LunaNode，已自動關閉存在風險的舊版實例。官方建議仍使用 2.4.1 或更早版本的用戶立即將舊熱錢包中的剩餘資金轉移至使用全新助記詞創建的新錢包，將舊伺服器下線並保留相關日誌，隨後在全新虛擬機上安裝最新版本並連接新錢包，切勿將舊伺服器整體恢復至新機器。僅更新軟體版本不足以消除風險，因為攻擊者可能已在舊伺服器上獲得持久訪問權限。存放在伺服器之外的資金，例如硬體錢包中的資金，未受到此次事件影響。該漏洞與今年 8 月修復的漏洞相關，當時攻擊者曾通過獲取 LND 管理憑證操控節點。截至目前，該漏洞尚未被分配 CVE 編號，也不在 CISA 已知被利用漏洞目錄中。

ChainCatcher 消息，BTCPay Server 表示收到熱錢包資金遭未授權攻擊者轉走的報告，建議實例運營者在調查完成前關停伺服器。

ChainCatcher 消息，BTCPay Server 已透過其 Docker 安裝器更新可選的 WooCommerce/WordPress 部署，以應對近期披露的嚴重 PHP 漏洞。透過 BTCPay Server 運行 WooCommerce 的用戶應立即更新，可直接在 BTCPay Server 內點擊 "Update" 完成。

ChainCatcher 消息，据 The Block 報導，比特幣開源支付處理器 BTCPay Server 支持者已承諾設立追回賞金：追回資金的 10% 將作為獎勵，若全額追回則上限為 3 枚 BTC。BTCPay 上週五披露一個嚴重漏洞正在被積極利用，敦促用戶儘快升級。該漏洞允許攻擊者獲取 LND 管理員憑證，從而完全控制連接的閃電錢包。BTCPay 表示鏈上錢包（含熱錢包）不受影響，未披露總損失金額和受影響節點數量。

ChainCatcher 消息，据 Cointelegraph 報導，BTCPay 伺服器已暫時限制對運行 Lightning Network Daemon (LND) 軟體的 Lightning Network 節點的公共遠程連接，此前攻擊者利用一個嚴重漏洞獲取了憑證並轉移了資金。BTCPay 表示，此限制可防止 Zeus 等外部錢包通過 BTCPay 伺服器域名進行連接。BTCPay 表示，Lightning 支付可以繼續進行，並計劃在認為安全時恢復遠程訪問選項。

ChainCatcher 消息，据 Decrypt 報導，比特幣支付處理項目 BTCPay Server 警告用戶，其伺服器存在一個正在遭受主動攻擊的嚴重漏洞，攻擊者可能利用該漏洞獲取未授權訪問權限並導致資金損失。要求管理員立即升級至 2.4.2 版本，並確認伺服器頁腳顯示更新完成。若無法及時升級，官方建議用戶暫時關閉 BTCPay Server，以防止進一步攻擊。此外，BTCPay Server 建議用戶更換可能暴露的 macaroons 憑證，重新創建 macaroons.db 文件，並刷新其他閃電網絡後端的認證字符串。

ChainCatcher 消息，Bitcoin News 在 X 平台發文表示，BTCPay Server 稱，一個嚴重漏洞正被主動利用，可能導致資金損失。用戶應立即更新至 BTCPay Server v2.4.2；無法立即更新的用戶應關閉其 BTCPay Server，直至可安裝更新，以防止未經授權訪問。

ChainCatcher 消息，Tether 宣布向 BTCPay Server 基金會授予 10 萬美元的贊助金，以支持自由和開放源代碼軟體（FOSS）的發展。據悉，BTCPay Server 基金會致力於推進金融隱私和自由，其開源支付處理軟體使得全世界成千上萬的商家和企業能夠免費自訂使用，接受比特幣和 Tether USD（USDt）支付（通過 Liquid 網絡）。