比特幣收款系統 BTCPay 熱錢包遭清空：官方籲關機，舊版伺服器受害
開源比特幣收款系統 BTCPay Server 在台灣時間 11 月 2 日清晨 6 點 25 分於 X 發出警告，表示陸續接到回報，商家伺服器上的熱錢包遭未經授權的攻擊者轉走資金。官方要求所有自架伺服器的營運者先執行關機指令，直到調查完成。
不到 6 小時後，官方更新調查結果，攻擊路徑鎖定 2.4.1 版及更舊的版本，最新的 2.4.7 版至今沒有可信的熱錢包遭清空回報。被盜金額與受害伺服器數量，官方目前都還沒有公布。
創辦人 Dorier：攻擊者以管理員身分登入 2.4.2 之前的伺服器
BTCPay Server 創辦人 Nicolas Dorier 在官方示警約兩小時後發文說明，專案自己執行 2.4.7 版的公開伺服器沒有遭到攻擊，目前的回報看起來都發生在 2.4.2 之前的版本。
廣告 - 內文未完請往下捲動
他說，攻擊者是以管理員身分登入這些伺服器，「我們還在查對方是怎麼做到的。」
約一個半小時後，Dorier 補充，團隊已找到 2.4.2 之前的漏洞遭到利用的痕跡。中午 12 點 22 分他回覆用戶時表示，所有回報已經整理完畢，版本高於 2.4.2 的伺服器都沒有受到影響。
官方鎖定 2.4.1 以前版本，代管業者已先替用戶關機
BTCPay Server 在中午 12 點 07 分的更新公告寫明，調查找到的攻擊途徑鎖定 7 月 23 日發布的 2.4.1 版或更舊的版本，並再次呼籲所有人保持更新。受害者可以把完整經過與系統紀錄寄到 [email protected]。
官方也提到，透過代管業者架設 BTCPay Server 的商家，伺服器可能已被業者自動關機，以免舊版本遭到利用，並點名感謝 LunaNode 等業者在第一則公告後迅速處理。
熱錢包會把私鑰存在連網的伺服器上，讓伺服器能自行簽署、送出交易，拿到伺服器控制權的人也就能把錢轉走。Dorier 回應網友時說，這次看起來不是新漏洞，但他仍提醒：「放進熱錢包的錢，不要超過你能承受損失的金額，我們無法保證這種事不會再發生。」
8 月 2.4.2 版修補的漏洞曾讓閃電網路節點遭清空
2.4.2 版在 8 月 7 日發布，當時官方說它修補了一個正遭實際利用的嚴重漏洞，要求用戶盡快更新，鏈新聞當時也報導過這起漏洞與官方的升級呼籲。
根據 BTCPay Server 當時的安全公告，該漏洞讓未經驗證的遠端攻擊者能取得 LND 閃電網路節點的憑證檔，進而控制節點、轉走資金，官方確認已有用戶資金被盜。公告同時寫明，BTCPay Server 內建的鏈上錢包，包括熱錢包，不受那次漏洞影響。
這次遭盜的則是熱錢包。Dorier 目前只說攻擊者利用的是「2.4.2 之前的漏洞」，還沒說明是哪一個，他表示細節會在後續的部落格文章公布。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
