Bitcoin 持稳于 $64,000 附近，BTCPay 支持者承诺 3 BTC 漏洞赏金

周一，Bitcoin 几乎没有任何波动，交易价格在 $64,000 左右；与此同时，BTCPay Server 的支持者承诺提供高达 3 $BTC 的赏金，以追回因该开源支付软件中的一个严重漏洞而导致的被盗资金。

缺乏热情意味着交易员可能认为这一事件是对商家和 Lightning 用户的威胁，而不是对 Bitcoin 的威胁。根据 CoinMarketCap 的数据，Bitcoin 的市值估计为 $1.28 万亿，下跌了约 0.5%。此次黑客攻击影响的是构建在 Bitcoin 之上的软件，而非网络本身。

价格持稳，而部分 Lightning 节点资金被抽干

8月7日，BTCPay Server 透露该漏洞正被积极滥用，并鼓励其用户升级到 2.4.2 版本，或在有机会修复问题之前停止服务器。在报告其 Lightning 节点遭到攻击的用户中包括 Foundation 和 Citadel21。然而，BTCPay 并未提供损失总额或受影响节点的数量。

该项目表示，其自身的链上钱包（包括热钱包）未受影响。相反，攻击者可以从存在漏洞的 BTCPay 实例中获取 LND 管理员 macaroon 凭据，并利用它们控制连接的 Lightning 钱包。

支持者悬赏追回资金的 10%

为了帮助受害者追回资金，BTCPay 的支持者承诺提供相当于追回的任何被盗资金 10% 的赏金，如果全额退还，上限为 3 $BTC。

BTCPay Server Foundation 还向安全研究员 Craig Raw 和 Bitcoin 红队基金各捐赠 0.21 $BTC，以表彰他们发现并私下报告了该漏洞。Sparrow Wallet 的开发者 Raw 表示，他也是受影响者之一。

macaroon 缺陷允许攻击者做什么

2.4.2 之前的所有 BTCPay Server 版本，包括该版本的发布候选版，都容易受到 LND 凭据风险的影响。BTCPay 尚未公开为该事件分配 CVE 标识符。

Macaroon 是 LND 用于授权 API 访问的一种身份验证凭据。该漏洞允许恶意用户从受影响的服务器获取 LND 管理员 macaroon，从而让他们控制链接的 Lightning 节点和钱包。

升级机制应通过 Admin Dashboard → Server → Maintenance → Update 访问，操作员可以在那里检查页脚是否显示为 2.4.2。如果无法立即进行更新，BTCPay 建议关闭服务器。

仅仅应用补丁可能还不够。操作员必须刷新其 Lightning 凭据和 macaroon，因为已经被盗的凭据可能仍然有效。根据 LND 文档，删除 macaroon 文件并不会使之前签发的凭据失效——还必须更换 macaroon 数据库。

2.4.2 版本还解决了 8月4日报告的通过 Greenfield Basic Authentication 绕过 TOTP 双因素身份验证的另一个问题。然而，这种情况与目前正在被利用的 LND 缺陷无关。