舊版漏洞致熱錢包資金被盜，BTCPay Server建議用戶立即遷移
開源比特幣支付處理工具 BTCPay Server 於 11 月 1 日收到多起報告，稱其平臺上的比特幣和萊特幣熱錢包遭到未經授權的資金盜取。11 月 2 日，項目團隊發佈調查更新，確認攻擊針對運行 BTCPay Server 2.4.1 版本或更早版本的服務器。攻擊者利用了已於 8 月 7 日在 2.4.2 版本中修復的漏洞，通過不同方法獲取服務器管理員權限並清空熱錢包資金。BTCPay Server 創始人 Nicolas Dorier 確認，只有運行 2.4.2 之前版本，尤其是 2.4.1 版本的服務器受到影響；運行最新 2.4.7 版本的用戶尚未出現可信的損失報告。部分受影響的服務商，包括 LunaNode，已自動關閉存在風險的舊版實例。官方建議仍使用 2.4.1 或更早版本的用戶立即將舊熱錢包中的剩餘資金轉移至使用全新助記詞創建的新錢包，將舊服務器下線並保留相關日誌，隨後在全新虛擬機上安裝最新版本並連接新錢包，切勿將舊服務器整體恢復至新機器。僅更新軟件版本不足以消除風險，因爲攻擊者可能已在舊服務器上獲得持久訪問權限。存放在服務器之外的資金，例如硬件錢包中的資金，未受到此次事件影響。該漏洞與今年 8 月修復的漏洞相關，當時攻擊者曾通過獲取 LND 管理憑證操控節點。截至目前，該漏洞尚未被分配 CVE 編號，也不在 CISA 已知被利用漏洞目錄中。
