BTCPay Server 推出3 BTC赏金追回被盗资金

BTCPay Server 宣布设立最高达3 BTC的赏金，用于激励追回因安全漏洞被窃取的闪电网络资金。该计划对提供有效信息、直接促成资金返还的个人开放，包括攻击者本人。奖励金额为追回资金的10%，上限为3 BTC。

漏洞利用与资金损失情况

攻击者通过泄露的LND管理员macaroon凭证，非法访问并清空了多个商户的闪电网络钱包。受影响的商户报告其节点资金被完全转移，但具体损失总额尚未公开。此次事件波及Foundation和Citadel21等实体，相关交易所与区块链分析机构已介入追踪资金流向。

赏金分配与协作机制

贡献者可通过安全通信渠道联系项目团队提交线索。若多份报告共同促成追回，赏金将根据信息价值及受害者损失比例进行分配。此外，项目已向Sparrow Wallet开发者Craig Raw和比特币红队各支付0.21 BTC，以表彰其负责任地披露关键漏洞。

漏洞修复与后续安全强化

此次攻击针对的是BTCPay Server 2.4.2版本之前的旧版系统。漏洞允许攻击者从暴露的安装环境中获取LND管理员凭证，从而获得对连接闪电网络钱包的全面控制权限。该问题不涉及链上钱包的安全风险。官方已发布2.4.2版本修复漏洞，并敦促所有用户立即升级。 项目团队正在与外部安全团队合作，完善代码审查流程，并准备发布完整的事后分析报告，以提升整体安全性。同时，建议所有受影响商户向当地警方报案，并通知相关服务以便开展调查。