BTCPay Server 在接獲攻擊者未經授權存取較舊安裝版本並盜取相連比特幣熱錢包資金的通報後，已警告使用者關閉其支付伺服器。
摘要
- BTCPay Server 在接獲攻擊者未經授權存取並盜取相連比特幣熱錢包資金的通報後，已敦促營運者關閉其支付伺服器。
- 該專案的調查發現了一個影響執行 2.4.1 或更舊版本安裝的攻擊向量，而最新的 2.4.7 版本則沒有可信的錢包盜取通報。
- BTCPay Server 共同創辦人 Nicolas Dorier 表示，攻擊者已成功以管理員權限登入受影響的執行個體，儘管調查人員尚未確定他們是如何取得存取權限的。
- 包括 LunaNode 在內的託管供應商已採取預防措施關閉部分安裝，同時受影響的使用者已被要求提交事件詳情與伺服器日誌。
- BTCPay Server 尚未披露被盜加密貨幣的總額或受入侵伺服器的數量，其調查仍在進行中。
在 11 月 2 日的安全警示中，這家開源比特幣支付處理商表示，正在調查未經授權的錢包提款通報，並要求營運者使用 ./btcpay-down.sh 腳本暫時關閉其執行個體。
該警示最初適用於所有使用者，同時團隊正著手判定攻擊者是如何取得存取權限的。隨後的調查將疑似攻擊向量縮小至執行 2026 年 7 月 23 日發布的 2.4.1 版或更舊版本的安裝。
BTCPay Server 表示，尚未接獲涉及最新版本 2.4.7 的熱錢包盜取可信通報，並敦促營運者保持其軟體更新。
該專案尚未披露被盜加密貨幣的數量、受入侵伺服器的數量，或有多少使用者通報損失。
BTCPay Server 指認較舊安裝為攻擊目標
根據該專案最新的公告，其事件應變調查發現了一個影響較舊版本支付軟體的攻擊向量，儘管團隊尚未公開解釋允許入侵的技術弱點。
BTCPay Server 是一款自架式的加密貨幣支付處理器，可讓商家與個人接受比特幣支付，而無需依賴傳統的支付中介。營運者可管理自己的支付基礎設施，並連接錢包以接收與管理資金。
據報的攻擊涉及熱錢包，這些錢包持續連接至線上系統，可用於發送加密貨幣交易。若攻擊者取得控制這些錢包之系統的足夠存取權限，存放於這些錢包中的資金便可能暴露於風險之中。
在其最初的警示中，BTCPay Server 表示正接獲熱錢包遭未經授權的攻擊者掃空的通報。錢包掃空是指將可用資金從一個或多個地址轉移至另一個目的地。
該專案的指示要求營運者在調查持續期間關閉其執行個體。其後續更新提供了關於受影響軟體版本，以及缺乏涉及 2.4.7 版本之可信盜取通報的更具體資訊。
認為自己伺服器遭到入侵的使用者，已被要求將事件細節與相關系統日誌寄送至 [email protected]。
BTCPay Server 創辦人表示攻擊者取得了管理員權限
BTCPay Server 共同創辦人 Nicolas Dorier 在 11 月 2 日的另一份聲明中，提供了關於這些疑似入侵事件的進一步細節。
Dorier 表示，該專案執行 2.4.7 版本的公開伺服器並未遭到攻擊。根據他所掌握的報告，受影響的安裝似乎執行的是 2.4.2 之前發布的版本。
他解釋，攻擊者成功以管理員權限登入受影響的執行個體，但團隊仍在試圖釐清該存取權限是如何取得的。
管理員權限可讓人控制重要的伺服器設定與功能，具體取決於軟體配置以及該帳戶可用的權限。
這起最新事件發生在 8 月較早的一次安全漏洞之後，當時 BTCPay Server 警告存在一個正被積極利用的漏洞，可能導致資金遭竊。
正如 crypto.news 先前報導，該專案敦促使用者立即升級至 2.4.2 版本，若無法安裝安全修補程式，則應關閉其伺服器。
8 月的漏洞讓攻擊者能從受影響的安裝中取得 LND 管理員 macaroon 憑證，並存取已連接的閃電網路錢包。BTCPay Server 表示，該缺陷並未危及一般的鏈上錢包，包括熱錢包。
該專案隨後宣布一項尋回懸賞，金額相當於尋回資金的 10%，若所有遭竊資產全數尋回，上限為 3 BTC。
BTCPay Server 基金會分別向 Sparrow Wallet 開發者 Craig Raw 及 Bitcoin Red Team 基金各投入 0.21 BTC，以表彰他們發現並回報先前的漏洞。
主機供應商關閉部分 BTCPay Server 執行個體
在最新警告發布後，主機供應商開始採取預防措施，以防止較舊的安裝持續暴露於風險中。
在 11 月 2 日的另一則更新中，BTCPay Server 表示，透過主機供應商執行該軟體的使用者可能會發現，他們的執行個體已被自動關閉。
該專案感謝 LunaNode 及其他主機公司在初步公告後迅速回應。
此類關閉意味著部分營運者可能無法存取其支付伺服器，直到其主機供應商恢復服務，或受影響的安裝重新上線為止。
BTCPay Server 尚未公布暫停執行個體的主機供應商完整名單，也未披露有多少伺服器被下線。
這項安全警告發布之前，近期還發生了另一起涉及比特幣支付基礎設施的事件。9 月時，Core Lightning 警告營運者，攻擊者正鎖定較舊、未修補的閃電網路節點。
Core Lightning 表示，已收到針對易受攻擊安裝的攻擊報告，儘管尚未確認這些嘗試是否導致資金遭竊。
使用者回報錢包損失，安全調查持續進行
BTCPay Server 的自架設計讓營運者能直接控制其支付系統，包括軟體更新、伺服器管理及錢包配置。
該專案建議限制存放在熱錢包中的加密貨幣數量，並將多餘資金轉移至冷儲存，也就是私鑰離線保存的地方。
其最新版本 2.4.7 被認定為團隊尚未收到可信錢包資金遭盜空報告的版本。該聲明並未確認每個較早版本都遭到入侵，也未確認每個執行受影響版本的安裝都蒙受損失。
BTCPay Server 已要求受影響的營運者保留並向安全團隊提交日誌，因為調查人員仍在持續檢視 Dorier 所回報的管理員存取權限問題。
目前尚未提供調查完成的公開時間表，該專案也未宣布任何從受影響錢包中取走的加密貨幣已被追回。
