简讯
BTCPay Server在周日敦促运营者关闭其实例，此前有报告称，攻击者正在扫荡运行该软件的服务器上的热钱包。
BTCPay于周四发布2.4.7版本作为紧急更新，修复了Anthropic扫描器发现的一个严重漏洞和若干中等严重性漏洞。
BTCPay Server是一款免费、开源的工具，企业可用它接受比特币支付。该项目表示，在收到有关与其连接的热钱包被清空的报告后，已要求运营者关闭服务器。
该项目在美国东部时间下午5:25发推称：“我们收到报告称，BTCPay Server上的热钱包正被未经授权的攻击者清空。如果你正在运行一个实例，请将其关闭（./btcpay-down.sh），直到我们完成调查。”
大约两小时后，BTCPay创始人N代币发行las Dorier表示，这些报告似乎涉及2.4.2版本之前的发布版本，攻击者是以管理员权限登录受影响服务器的。
周日稍晚些时候，该项目表示，其调查已确定攻击路径针对的是运行2.4.1版本或更早版本的实例。2.4.1版本发布于7月23日。“我们没有收到任何可信报告显示，运行最新2.4.7版本的用户出现热钱包被盗情况，”项目方表示，并敦促所有人保持软件更新，同时要求受影响用户将细节和日志发送给其安全团队。
该项目称，包括LunaNode在内的一些托管服务商已自动关闭BTCPay实例，以阻止旧版本被利用。BTCPay尚未说明有多少服务器受到影响，也未说明有多少比特币被盗。
热钱包与BTCPay的紧急更新
由于BTCPay是自托管软件，每个商户都在自己的服务器上运行该软件，因此不存在可以统一关闭实例的中心运营方。商户可以选择运行热钱包，即将钱包助记词存放在那台联网服务器上，以便自动签署交易。BTCPay自己的文档将这一功能标注为“DANGER”，并警告称其“伴随安全影响”。
这些攻击发生在BTCPay于周四发布2.4.7版本之后不久。该版本作为紧急更新，修复了一个严重漏洞和若干中等严重性漏洞；BTCPay表示，这些问题是通过Anthropic的前沿开源软件扫描器发现并提醒其注意的。BTCPay尚未说明这些攻击是否利用了上述任何漏洞。
这并不是该项目今年第一次遭遇安全警报。8月，BTCPay曾警告称，2.4.2之前所有版本中的一个严重漏洞正被积极利用，并敦促用户更新或关闭服务器。随后，该项目的支持者资助了一项恢复赏金计划：返还任何被盗资金的10%，上限为3 BTC。
