02
2026-11-01
35分
比特幣收款軟體 BTCPay：舊版伺服器熱錢包被掃空，官方要求先關機
BTCPay Server 是開源的比特幣收款軟體，商家把它裝在自己的伺服器上，收款不經過第三方。有些商家會在上面放熱錢包（私鑰存在連網伺服器上、方便收付的錢包），代價是伺服器一旦被入侵，錢就跟著走。8 月這套軟體才因為閃電網路節點被掃空，要商家緊急升級到 2.4.2 版。
11 月 1 日美東週日，BTCPay 官方在 X 上說，收到熱錢包被未經授權者掃走的報告，要營運者用 ./btcpay-down.sh 先關機。創辦人 Nicolas Dorier 隨後說，受害的都是 2.4.2 以前的舊版，攻擊者以管理員身分登入，還在查是怎麼辦到的。官方公開伺服器跑 2.4.7，沒有被攻擊。損失金額與受害伺服器數量都沒公布。
- BTCPay ServerBTCPay Server 官方：收到熱錢包遭未授權攻擊者掃走的報告，請營運者先關閉實例
- Nicolas DorierNicolas Dorier：公開伺服器未受攻擊，受害者為 2.4.2 以前版本，攻擊者以管理員身分登入
- CoinDesk比特幣收款工具 BTCPay 在熱錢包被掏空的報告後，要用戶關閉伺服器
- Nicolas Dorier（BTCPay Server 創辦人）：「這次看來不是新漏洞。不要在熱錢包放超過你準備好損失的金額，我們無法保證不會再發生。」
- Nicolas Dorier（BTCPay Server 創辦人）：「我們有痕跡顯示 2.4.2 以前的漏洞被利用了，之後會在部落格文章說明更多。」
- Cobra：「準備好接下來好幾個月都是這樣。等一切塵埃落定，沒有人會再用同樣的方式信任軟體。」
相關脈絡 · 1 件
BTCPay Server 是自架式的比特幣收款軟體，Namecheap 與數百家小商家靠它收比特幣，也用它管理閃電網路（比特幣上的小額即時支付網路）裡的收款資金。它的設計是每個商家自己跑一台伺服器，收款不經過任何中介，代價是安全漏洞得自己發現、自己補。
8 月 7 日美東上午 11 點 51 分，BTCPay Server 公告嚴重漏洞正被利用，要商家立刻更新到 2.4.2 版，做不到就先關掉伺服器。硬體錢包商 Foundation 執行長 Zach Herbert 說，自家節點一夜之間支付通道全關、餘額被掃空，比特幣刊物 Citadel21 也一樣，沒有人統計受害節點數。光更新還不夠：被複製走的授權檔（macaroons）升級後依然有效，必須整組重建。
- The DefiantBTCPay Server 要求營運者更新或關機，漏洞正被實際利用
- BTCPay ServerBTCPay Server 2.4.2 版釋出：修補正被利用的嚴重漏洞
- BTCPay Server官方公告：嚴重漏洞正被利用，請升級 2.4.2 或關閉伺服器
- BTCPay Server（官方帳號）：「BTCPay Server 上有一個正在被積極利用的嚴重漏洞，這可能導致資金損失。請把 BTCPayServer 更新到 2.4.2。如果你無法立即更新，請關閉你的 BTCPay Server 以防止未經授權的存取，直到你能夠更新為止。」
- BTCPay Server（官方帳號）：「為了保持安全，即使更新之後也請確定你完全刷新 macaroons 與 macaroons.db，並刷新其他閃電後端的授權字串。」
- Nicolas Dorier（BTCPay Server 創辦人）：「我們從紅隊拿到的 AI 報告沒有包含這一個。但這個 bug 真的很陰險，我不意外簡單的掃描沒找到它，或是把它判成低風險。」
- Nicolas Dorier：「我們非常幸運，剛好有一位開發者是受害者，而他有能力分析日誌、搞懂發生了什麼事。這個漏洞不是被 AI 掃描找出來的，是他賠錢賠出來的。」
- Nicolas Dorier：「我真希望這是 Bitcoin Red Team 找到的，如果是的話，至少不會有人賠錢。」
- Evan Kaloudis：「給 LND 加 BTCPay Server 使用者的公告：升級之後不要以為你就安全了。你會想要明確地銷毀 macaroons 與 macaroons.db 並重新產生新的。如果你曾經在 BTCPay 裡產生過鏈上熱錢包，把那些資金移走。」
- Aryan Jabbari：「對於被入侵的伺服器管理員，那個權限可以觸及內部閃電節點的 API 操作，包括支付發票與開啟通道。BTCPay 說這個漏洞正在被實際利用，而且可能造成資金損失。這不只是理論上的問題。」