BTCPay Server 紧急修复遭积极利用的关键漏洞

已确认存在主动利用，需立即更新

BTCPay Server 发布紧急安全公告，确认攻击者正在积极利用其软件中的一个严重漏洞。在8月7日发布的通知中，这款开源比特币支付处理器敦促管理员立即将其安装更新至2.4.2版本，并警告称运行旧版本的系统仍处于暴露状态，该漏洞可能导致资金损失。

BTCPay Server 是一个免费、开源、自托管的比特币支付处理器，允许个人和企业直接接受比特币和闪电网络支付，无需任何费用或中介。这种架构减少了对中心化支付提供商的依赖，但将软件更新的责任交给了个体商户和服务器管理员。

操作人员需通过服务器维护面板安装最新版本，并确认更新后页脚显示版本号为2.4.2。对于无法立即更新的用户，建议完全关闭BTCPay Server，以防未经授权的访问，直至完成补丁安装。

负责安全披露的Bitcoin Red Team提供了相关细节，帮助项目方解决该漏洞。集成商在更新主服务器的同时，也应将NBXplorer升级至2.6.10版本。

补丁后步骤及不确定性

应用更新仅是修复的一部分。团队表示，操作人员在打补丁后还必须完全刷新macaroon令牌和后端身份验证凭据。任何在BTCPay内生成的热钱包中持有的资金，应在重新创建该钱包之前转移出去。

项目的发布说明指出：“此版本包含一个正在被积极利用的严重漏洞的修复。您需要尽快更新。”虽然团队确认资金可能面临风险，但目前尚不清楚有多少用户遭到利用，以及损失了多少资金。关于攻击的细节目前有限。BTCPay Server尚未披露攻击方法或总财务损失。