BTCPay 呼籲商家關閉伺服器：有報告稱熱錢包遭掏空，專案稱攻擊針對 2.4.1 及更舊版本

發生了什麼事

據 Decrypt 報導，BTCPay Server 是一款免費、開源的工具，企業可用它接受比特幣付款。該專案在週日（11 月 1 日）呼籲營運者，也就是在伺服器上運行這套軟體的人，關閉伺服器，原因是有報告指攻擊者正在掏空（把資金轉走）與這些伺服器連接的熱錢包。

據 Decrypt 引述，BTCPay 在美東時間下午 5:25 發文稱：「We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.」（大意是：專案接獲報告，BTCPay 伺服器上的熱錢包遭未經授權的攻擊者掏空。）專案並請營運者在調查完成前，關閉自己運行的 BTCPay 伺服器（./btcpay-down.sh）。

據 Decrypt 報導，約兩小時後，創辦人 Nicolas Dorier 表示，相關報告似乎涉及 2.4.2 之前的舊版本，且攻擊者是以管理員權限登入受影響的伺服器。

專案目前的說法與未知之處

據 Decrypt 報導，專案稍後表示，調查已找出針對 2.4.1（7 月 23 日發布）或更舊版本的攻擊途徑，並稱「沒有可信報告」顯示使用最新 2.4.7 版的用戶熱錢包遭掏空。專案也呼籲所有人保持軟體更新，並請受影響的用戶將細節與日誌（系統運作紀錄）寄給其安全團隊。

據 Decrypt 報導，BTCPay 在週四發布 2.4.7 作為緊急更新，修補一個嚴重與數個中等嚴重度的漏洞。專案稱這些漏洞是透過 Anthropic 的開源軟體掃描器才受到注意；BTCPay 尚未說明這次攻擊是否利用了這些漏洞。

據 Decrypt 報導，BTCPay 尚未說明有多少伺服器受影響，也未說明被取走多少比特幣。

為什麼熱錢包特別敏感

據 Decrypt 報導，BTCPay 是自行架設的軟體，每位商家都在自己的伺服器上運行，沒有中央營運者能統一關閉這些伺服器，因此需要由各營運者或其代管業者自行處理。

據 Decrypt 報導，商家可選擇使用熱錢包，把錢包種子（讓軟體能代表錢包授權交易的機密資料）存放在連網的伺服器上，以便自動簽署交易，也就是自動授權交易。BTCPay 自己的文件將此功能標示為「DANGER」（危險），並警告它「comes with security implications」（會帶來安全方面的影響）。

據 Decrypt 報導，這不是該專案今年第一次出現安全警訊。8 月時，BTCPay 曾警告 2.4.2 之前的所有版本存在正遭主動利用的嚴重漏洞，並告知用戶更新或關閉伺服器。專案支持者後來資助了一項追回賞金，金額為歸還被盜資金的 10%，上限 3 BTC。

這件事會影響誰

據 Decrypt 報導，遭鎖定的是營運者伺服器上連接的熱錢包；該報導未提及一般付款人的資金受到影響。

查看同分類最新消息

• 加密貨幣與區塊鏈