BTCPay Server 建议商户暂停服务器 调查热钱包资金转出情况

开源比特币支付工具 BTCPay Server 近日向用户发布通知，建议正在运行该软件的商户暂时关闭服务器，以便项目团队就“服务器热钱包资金被转出”的反馈展开调查。该软件允许商户在自有服务器上部署系统并直接接收比特币付款，资金进入商户自己的钱包，不经过第三方托管方。

BTCPay 在社交平台表示，已收到多起关于服务器上热钱包资金被未授权方一次性转出的报告，建议正在运行实例的用户执行 ./btcpay-down.sh 命令停止服务，并在调查完成前保持关闭状态。项目方此次未公布具体涉及金额，也未给出受影响服务器的数量，同时没有限定单一软件版本。

涉及版本范围与访问权限情况

约两小时后，BTCPay 创始人 Nicolas Dorier 补充说明，相关报告“似乎涉及 2.4.2 之前发布的版本”，即尚未升级至 2.4.2 或更高版本的服务实例。他表示，项目自身运行的公共服务器使用 2.4.7 版本，未出现同类情况。他并未就更高版本是否完全不受影响给出结论。

Dorier 还提到，在出现资金转出的服务器上，操作者以管理员身份登录，该权限属于最高层级访问权限。团队目前尚未确定该权限是通过何种方式取得的，事件的入口环节仍无公开结论。

今年 8 月的同类情况

今年 8 月，BTCPay 曾确认有外部人员利用 2.4.2 之前版本中的一处缺陷转移资金：该缺陷允许外部人员取得运行闪电网络节点软件 LND 的凭据文件，进而控制节点并转移其资金，项目随后在 2.4.2 版本中修复了该问题。本次反馈涉及的版本范围与上述情况存在重合，但项目方尚未说明两者是否出自同一原因。

热钱包机制与自托管架构

按照 BTCPay 的说明，商户可将收款钱包配置为热钱包，其种子短语保存在与互联网相连的服务器上。系统在收款确认环节会自动调用服务器上保存的种子短语完成签名，因此服务器能够在无需商户在另一台设备上确认的情况下将币转出。这一设计提升了收款便利性，同时也意味着能够进入该服务器的一方可以发起转账。官方文档对该功能标注了 DANGER 提示，并注明其具有安全方面的影响。

另一方面，由于每个商户将软件部署在自己的私有服务器上，项目方没有可以统一停用全部实例的集中开关，出现情况时只能由各运营者自行处理。这也是 BTCPay 只能逐一通知服务器所有者关闭服务、而无法代为操作的原因。各商户需要独立负责自身基础设施的配置与维护。

截至目前，BTCPay 尚未公布修复方案的发布时间表，也未披露受影响商户的规模与地域分布，调查仍在进行中。

信息来源：CoinDesk