BTCPay 呼吁商家关闭服务器：有报告称热钱包被掏空，项目称攻击针对 2.4.1 及更旧版本

发生了什么事

据 Decrypt 报道，BTCPay Server 是一款免费、开源的工具，企业可用它接受比特币付款。该项目在周日（11 月 1 日）呼吁运营者，也就是在服务器上运行这套软件的人，关闭服务器，原因是有报告称攻击者正在掏空（把资金转走）与这些服务器连接的热钱包。

据 Decrypt 引述，BTCPay 在美东时间下午 5:25 发文称：「We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.」（大意是：项目接到报告，BTCPay 服务器上的热钱包被未经授权的攻击者掏空。）项目并请运营者在调查完成前，用关机命令（./btcpay-down.sh）关闭自己运行的 BTCPay 服务器。

据 Decrypt 报道，约两小时后，创始人 Nicolas Dorier 表示，相关报告似乎涉及 2.4.2 之前的旧版本，且攻击者是以管理员权限登录受影响的服务器。

项目目前的说法与未知之处

据 Decrypt 报道，项目稍后表示，调查已找出针对 2.4.1（7 月 23 日发布）或更旧版本的攻击途径，并称「没有可信报告」显示使用最新 2.4.7 版的用户热钱包被掏空。项目也呼吁所有人保持软件更新，并请受影响的用户将细节与日志（系统运行记录）发送给其安全团队。

据 Decrypt 报道，BTCPay 在周四发布 2.4.7 作为紧急更新，修补一个严重和数个中等严重度的漏洞。项目称这些漏洞是通过 Anthropic 的开源软件扫描器才受到注意；BTCPay 尚未说明这次攻击是否利用了这些漏洞。

据 Decrypt 报道，BTCPay 尚未说明有多少服务器受影响，也未说明被取走多少比特币。

为什么热钱包特别敏感

据 Decrypt 报道，BTCPay 是自行架设的软件，每位商家都在自己的服务器上运行，没有中央运营者能统一关闭这些服务器，因此需要由各运营者或其托管商自行处理。

据 Decrypt 报道，商家可选择使用热钱包，把钱包种子（让软件能代表钱包授权交易的机密数据）存放在联网的服务器上，以便自动签署交易，也就是自动授权交易。BTCPay 自己的文档将此功能标示为「DANGER」（危险），并警告它「comes with security implications」（会带来安全方面的影响）。

据 Decrypt 报道，这不是该项目今年第一次出现安全警讯。8 月时，BTCPay 曾警告 2.4.2 之前的所有版本存在正被主动利用的严重漏洞，并告知用户更新或关闭服务器。项目支持者后来资助了一项追回赏金，金额为归还被盗资金的 10%，上限 3 BTC。

这件事会影响谁

据 Decrypt 报道，被锁定的是运营者服务器上连接的热钱包；该报道未提及一般付款人的资金受到影响。

查看同分类最新消息

• 加密货币与区块链