BTCPay 呼籲商戶關閉伺服器 熱錢包攻擊事件頻傳

BTCPay Server 是一款免費、開源的工具，供企業用來接受 比特幣 付款。在有報導指出攻擊者正在盜取與其連線的熱錢包後，該專案於週日要求營運者關閉其伺服器。

「我們收到報告指出，BTCPay Server 上的熱錢包正遭未經授權的攻擊者掃蕩，」該專案於美東時間下午 5 時 25 分推文表示。「如果你正在執行某個執行個體，請將其關閉（./btcpay-down.sh），直到我們完成調查。」

約兩小時後，BTCPay 創辦人 Nicolas Dorier 表示，這些報告似乎涉及比 2.4.2 版更舊的版本，且攻擊者是以管理員權限登入受影響的伺服器。

週日稍晚，該專案表示，其調查已找出一個攻擊途徑，目標是執行 7 月 23 日發布的 2.4.1 版或更舊版本的執行個體。「我們沒有可靠報告顯示執行最新 2.4.7 版本的使用者遭遇熱錢包資金被盜，」該專案表示，並敦促所有人保持軟體更新，同時請受影響的使用者將詳細資訊與日誌寄給其安全團隊。

該專案表示，包括 LunaNode 在內的部分主機供應商已自動關閉 BTCPay 執行個體，以防止較舊版本遭利用。BTCPay 尚未說明有多少伺服器受到影響，或有多少比特幣被盜取。

熱錢包與 BTCPay 的緊急更新

由於 BTCPay 是自架式的，每個商家都在自己的伺服器上執行該軟體，並沒有任何中央營運商可以將執行個體關閉。商家可以選擇執行熱錢包，這會將錢包的種子儲存在該台連上網際網路的伺服器上，以便自動簽署交易。BTCPay 自家的文件將此功能標示為「危險」，並警告它「會帶來安全方面的影響」。

比特幣BTC · USD

$78,016−2.88%

10月26日10月28日10月30日10月31日11月2日

$81.8k$80.1k$78.4k$76.7k

24小時最高最高$78,728

24小時最低最低$77,599

成交量成交量$636.6M

→

使用 USDT 購買 比特幣

由 Jupiter 提供技術支援

價格數據由 CoinGecko 提供CoinGecko更多 比特幣 新聞與預測 →

這些攻擊發生在 BTCPay 於週四 發布 2.4.7 版作為緊急更新之後數天，該更新修復了一個嚴重漏洞和數個中等嚴重性漏洞，並表示這些漏洞是透過 Anthropic 的前沿開源軟體掃描器引起其注意的。BTCPay 尚未說明這些攻擊是否利用了其中任何一個漏洞。

這並非該專案今年首次遭遇安全警訊。今年八月，BTCPay 警告指出，2.4.2 之前所有版本中的一個重大漏洞正遭到積極利用，並告知使用者更新或關閉其伺服器。該專案的支持者隨後資助了一項追回賞金，金額為任何被歸還被盜資金的 10%，上限為 3 BTC。