Ai总结： BTCPayServer 平台因安全漏洞导致 Lightning 节点资金被窃，Foundation 和 Citadel21 均确认损失。攻击者利用 LND 的 macaroon 凭证远程操控节点，平台已限制远程访问并发布更新。受影响运营商需主动检查节点状态。

BTCPayServer 安全缺陷引发 Lightning 节点资金外流事件

近期，BTCPayServer 平台暴露出的安全问题已演变为针对 Lightning 网络节点的系统性资金盗取行为。攻击者通过获取关键控制凭证，成功访问并转移了多个节点中的资产。为应对风险，该平台暂时关闭了远程 Lightning 接入功能。目前，Foundation 与 Citadel21 均已证实遭遇损失，但具体金额尚未披露。

攻击路径依赖 LND macaroon 权限令牌

此次入侵的核心在于攻击者获取了用于管理 Lightning Network Daemon（LND）节点的“macaroon”认证密钥。这些高权限令牌允许操作者完全掌控节点，包括发起支付、关闭通道及转移余额，成为攻击的关键入口。

平台恢复策略：更新后重启远程连接

BTCPay Server 表示，在完成安全验证后将逐步恢复远程访问服务。值得注意的是，当前 Lightning 支付功能仍可正常使用，未受此次事件直接影响。

运营商应主动排查异常节点活动

官方建议所有节点运营者在升级至 2.4.2 版本后立即核查账户状态，重点关注以下可疑迹象：通道在无授权情况下意外关闭、存在未知对等节点连接、链上记录与 Lightning 余额严重不符等，以判断是否已被入侵。

自定义部署用户须独立处理凭证更新

对于采用反向代理、Tor 隧道或端口映射等非标准接入方式的用户，其访问路径不受 BTCPay Server 自动更新机制覆盖。因此，即使完成平台升级，若未手动刷新外部访问凭证，仍可能面临持续风险。此类用户需自行执行安全加固操作。

两家知名机构确认资产遭劫

至少有两位运营方公开承认遭受攻击。比特币硬件钱包开发商 Foundation 的创始人 Zach Herbert 表示，其 Lightning 节点在短时间内被清空，尽管热钱包未受影响，但所有通道资金已被恶意扫走。同时，内容平台 Citadel21 也报告其节点余额归零，双方均未透露具体损失数额。

整体影响范围仍在评估中

截至目前，已有两位运营商确认受害，但实际波及范围和总被盗金额仍不明确。此事件是近期比特币生态中接连出现的安全危机之一，凸显外围工具链的脆弱性，而非比特币核心协议本身的问题。此前 Coldcard 硬件钱包漏洞也曾造成数百万美元损失，反映出整个生态系统在安全纵深上的挑战。