BTCPay服务器警告：活跃漏洞利用可能导致资金被盗

BTCPay Server 紧急更新：严重漏洞遭利用，用户需立即升级

BTCPay Server 项目方发现攻击者正在积极利用一项严重漏洞，可能导致资金被盗，因此敦促用户立即安装 2.4.2 版本。

摘要

BTCPay Server v2.4.2 包含必要的安全更新。该项目证实，该漏洞已遭积极利用。无法立即更新的运营者应立刻关闭服务器。BTCPay Server 尚未披露攻击方式或具体财务损失。

BTCPay Server 要求用户安装 v2.4.2

BTCPay Server 于 8 月 7 日通过其官方 X 账号发布警告，将该漏洞定性为严重级别，并指出成功利用可能导致资金损失。项目方指示服务器管理员打开管理后台，依次进入“服务器”、“维护与更新”页面，然后确认服务器底部显示的版本号为 2.4.2。

项目方表示：“BTCPay Server 上存在一个正在被积极利用的严重漏洞，可能导致资金损失。”

无法立即完成更新的用户已被要求关闭其 BTCPay Server，直到能够安装补丁版本。此举旨在阻止对可能仍暴露在风险中的服务器进行进一步的未授权访问。

BTCPay Server 未指明哪些旧版本存在漏洞，也未披露攻击者如何获取访问权限、有多少服务器遭到入侵，以及是否已确认任何损失。

严重漏洞威胁自托管比特币支付

BTCPay Server 是一个开源支付处理器，允许商家通过自己控制的基础设施接受比特币和闪电网络支付。与托管式支付平台不同，运营者需要自行维护和保障其安装环境的安全。

这种架构减少了对中心化支付提供商的依赖，但将软件更新的责任交给了各个商家和服务器管理员。根据漏洞的影响范围，受感染的安装环境可能会暴露支付操作或其他敏感服务器功能。

项目方建议关闭系统的做法表明威胁的紧迫性。运营者不应在等待方便维护的时段内让受影响的服务器保持在线，因为 BTCPay Server 已确认漏洞利用正在发生。

用户应通过服务器的官方维护界面获取更新，并确认版本号为 2.4.2。项目方不建议用户依赖第三方下载或非官方修复方案。

比特币基础设施面临更广泛的安全审查

此次披露之前，近期还发生了另一起涉及比特币支付基础设施的事件。Zeus Wallet 在遭受网络攻击后将其基础设施下线，并在恢复服务前对其系统进行了审计。

Zeus 表示，没有客户资金丢失或面临风险，并称其调查未发现闪电节点软件存在漏洞。目前没有证据表明 Zeus 事件与 BTCPay Server 漏洞存在关联。

在近期一系列攻击事件之后，比特币生态系统的安全审查范围有所扩大。比特币红队志愿者在审查 390 个与比特币相关的项目时，发现了 4962 个潜在问题。

该团队将其中的 720 个发现归类为高危或严重级别。其工作涵盖比特币钱包、密码学库和基础设施软件，但该团队并未公开指出存在未修复严重漏洞的项目。

BTCPay Server 运营者下一步该怎么做

BTCPay Server 运营者应将此次升级视为紧急安全行动，而非常规软件更新。如果管理员无法确认已安装 2.4.2 版本，服务器应保持离线状态。

商家可能还需要检查服务器活动，以发现未授权访问的迹象。然而，BTCPay Server 尚未发布入侵指标或技术细节，供运营者判断其系统是否已成为目标。

在更多用户安装补丁，且公开披露不再增加未修补服务器风险之后，可能会有更多信息公布。在此之前，项目方的指导有限但直接：更新至 v2.4.2，否则关闭服务器。