BTCPay 热钱包遭清空：旧版伺服器沦陷，官方急吁关机

据 Woofun AI 消息，开源比特币收款系统 在台湾时间 11 月 2 日清晨 6 点 25 分于 X 平台发出紧急警告，指出陆续接到商家回报，其自架伺服器上的热钱包遭未经授权的攻击者转走资金，官方随即要求所有营运者执行关机指令以阻断风险。

不到 6 小时后，官方更新调查结果，将攻击路径锁定在 2.4.1 版及更旧的版本，而最新的 2.4.7 版至今没有可信的热钱包遭清空回报。Woofun AI 整理数据显示，被盗金额与受害伺服器数量官方目前都还没有公布，但明确指出版本高于 2.4.2 的伺服器都没有受到影响，这意味著漏洞具有高度的版本针对性，而非全域性基础设施故障。

Server 创办人 在官方示警约两小时后发文说明，专案自己执行 2.4.7 版的公开伺服器没有遭到攻击，目前的回报看起来都发生在 2.4.2 之前的版本。他说，攻击者是以管理员身分登入这些伺服器，"我们还在查对方是怎么做到的。"约一个半小时后，Dorier 补充团队已找到 2.4.2 之前的漏洞遭到利用的痕迹。中午 12 点 22 分他回覆用户时表示，所有回报已经整理完毕，版本高于 2.4.2 的伺服器都没有受到影响，这进一步确认了攻击者利用的是特定历史版本的权限提升或认证绕过缺陷。

BTCPay Server 在中午 12 点 07 分的更新公告写明，调查找到的攻击途径锁定 7 月 23 日发布的 2.4.1 版或更旧的版本，并再次呼吁所有人保持更新。受害者可以把完整经过与系统纪录寄到 [email protected]。官方也提到，透过代管业者架设 BTCPay Server 的商家，伺服器可能已被业者自动关机，以免旧版本遭到利用，并点名感谢 LunaNode 等业者在第一则公告后迅速处理。热钱包会把私钥存在连网的伺服器上，让伺服器能自行签署、送出交易，拿到伺服器控制权的人也就能把钱转走。Dorier 回应网友时说，这次看起来不是新漏洞，但他仍提醒："放进热钱包的钱，不要超过你能承受损失的金额，我们无法保证这种事不会再发生。"

2.4.2 版在 8 月 7 日发布，当时官方说它修补了一个正遭实际利用的严重漏洞，要求用户尽快更新。根据 BTCPay Server 当时的安全公告，该漏洞让未经验证的远端攻击者能取得 闪电网路节点的凭证档，进而控制节点、转走资金，官方确认已有用户资金被盗。公告同时写明，BTCPay Server 内建的链上钱包，包括热钱包，不受那次漏洞影响。这次遭盗的则是热钱包。Dorier 目前只说攻击者利用的是"2.4.2 之前的漏洞"，还没说明是哪一个，他表示细节会在后续的部落格文章公布。风险提示：加密货币投资具有高度风险，其价格可能波动剧烈，您可能损失全部本金。请谨慎评估风险。

相关动态与衍生资讯方面，市场关注 AI 揪出比特币节点软体 3 漏洞，Windows、Mac 版恐被弄当机； 钱包漏洞：恶意伺服器趁用户加速交易转走比特币。交易所活动频繁， 上线"合约赚币"活动，合约帐户内全部资金持续生息； 发布安全事件进展公告；LBank 上线"SKHY 营收飙升 328%"活动，瓜分 10,000 奖励； 已上线 JIO、DRV 永续合约；LBank 上线"Pre IPO 申购首交礼"活动，最高领 60 USDT 奖励。