BTCPay敦促商户关闭服务器，此前出现热钱包遭攻击报告

BTCPay Server是一款免费开源工具，供商户接受比特币付款。周日，在收到与其连接的热钱包遭攻击者转走资金的报告后，该项目敦促运营者关闭服务器。

该项目于美东时间下午5:25在社交平台发文称，收到BTCPay Server热钱包遭未经授权攻击者转移资金的报告，并要求运行该软件的用户暂时关闭实例，直至调查结束。约两小时后，BTCPay创始人Nicolas Dorier表示，相关报告似乎涉及2.4.2之前的版本，攻击者已通过管理员权限登录受影响服务器。

周日晚些时候，项目方称调查发现，攻击途径针对的是运行2.4.1或更早版本的实例。2.4.1于7月23日发布。项目方表示，没有可信报告显示使用最新2.4.7版本的用户热钱包遭到资金转移，并敦促所有用户保持软件更新，同时请受影响用户向安全团队提供详情和日志。项目方称，包括LunaNode在内的一些托管服务商已自动关闭BTCPay实例，以阻止旧版本继续遭利用。BTCPay尚未公布受影响服务器数量或被转走的比特币数量。

BTCPay采用自托管模式，每位商户都在自己的服务器上运行软件，没有中央运营方能够统一关闭各个实例。商户可以选择使用热钱包，将钱包助记词存储在连接互联网的服务器上，以便自动签署交易。BTCPay的文档将这一功能标记为“危险”，并提醒其存在安全影响。

此次攻击发生在BTCPay于周四发布2.4.7版本、紧急修复一项严重和多项中危漏洞的数日后。项目方称，这些漏洞是由Anthropic的前沿开源软件扫描器提醒发现的，但尚未说明此次攻击是否利用了其中任何漏洞。今年8月，BTCPay也曾警告，所有2.4.2之前的版本存在一项正遭主动利用的严重漏洞，并要求用户升级或关闭服务器。此后，该项目支持者为追回被盗资金设立悬赏：成功追回资金可获返还金额的10%，最高不超过3 BTC。