LND Macaroons 漏洞导致钱包遭利用后，BTCPay Server 悬赏 3 BTC

BTCPay Server 支持者周一宣布了一项赏金计划：对于追回的资金，提供追回金额 10% 的赏金，上限为 3 BTC，目前价值约 19 万美元，以换取归还近期攻击中被盗的比特币。该提议面向任何掌握有助于追回资金信息的人，包括攻击者。此次攻击使攻击者能够获取 LND 管理员 macaroon——这种凭证可授予对闪电网络节点的广泛控制权——并在从存在漏洞的 LND 服务器窃取凭证后，利用这些凭证访问连接的钱包。BTCPay 于周五首次警告用户相关攻击，敦促他们安装 2.4.2 版本或将服务器下线。

攻击者利用 LND 管理员 macaroon 访问钱包

据 BTCPay 称，该漏洞使攻击者能够获取 LND 管理员 macaroon，并利用这些凭证访问连接的钱包。闪电网络是构建于比特币区块链之上的二层支付网络，可实现更快、更便宜的交易。闪电网络节点通过用户之间的支付通道转发支付。运行受影响软件的用户应立即更新至 2.4.2 版本。BTCPay 尚未披露有多少比特币被盗、多少用户受到影响，或是否有任何资金已被追回。

BTCPay 提供 10% 赏金，赏金上限为 3 BTC，用于追回资金

BTCPay 周一在 X 上发文称，该提议面向任何掌握有助于追回资金信息的人，包括攻击者。该公司写道：“我们会检讨自身的错误，但仅仅感到遗憾无法帮助受影响的用户，也无法保障项目安全。没有时间可以浪费。我们必须学习、改进并迅速采取行动。”如果多条线索有助于追回资金，赏金将与受害者协调后进行分配。该项目表示，将考虑每名受害者的损失、追回的金额以及每条线索的有效性。

基金会向安全研究人员捐赠 0.21 BTC

BTCPay Server 基金会将分别向安全研究员 Craig Raw 和 Bitcoin Red Team 基金捐赠 0.21 BTC，以感谢他们负责任地披露该漏洞。BTCPay 写道：“这些捐赠数额不大，但作为一个 FOSS 项目，这就是我们能够提供的，也是我们对从事关键安全工作的人员表示感谢的一种方式，而这有助于整个生态系统。”该公司表示，随着 AI 让攻击者更容易发现比特币软件中的漏洞，公司正在加强代码审查，并优先处理安全补丁而非新功能。BTCPay 写道：“在这种环境下防御软件，需要更好的工具、更彻底的审查、更快的安全响应，以及对发现并负责任地报告漏洞的研究人员的支持。”

常见问题

BTCPay Server 针对被盗比特币提供了什么赏金？
BTCPay Server 支持者周一宣布了一项赏金计划：对于追回的资金，提供追回金额 10% 的赏金，上限为 3 BTC，目前价值约 19 万美元，面向任何能够帮助追回近期攻击中被盗比特币的人，包括攻击者。

攻击者如何利用 BTCPay Server 钱包？
此次攻击使攻击者能够获取 LND 管理员 macaroon——这种凭证可授予对闪电网络节点的广泛控制权——并在从存在漏洞的 LND 服务器窃取凭证后，利用这些凭证访问连接的钱包。BTCPay 于周五敦促用户更新至 2.4.2 版本或将服务器下线。

BTCPay 在攻击发生后宣布了哪些安全措施？
BTCPay Server 基金会将分别向安全研究员 Craig Raw 和 Bitcoin Red Team 基金捐赠 0.21 BTC，以感谢他们负责任地披露该漏洞。该公司表示，正在加强代码审查，并优先处理安全补丁而非新功能。