Ai总结： BTCPay Server 揭露严重安全漏洞，攻击者已利用该缺陷窃取多家商户资金。项目方紧急发布修复方案，并设立最高19万美元的追赃赏金，呼吁用户立即行动并配合调查。

开源支付系统 BTCPay Server 被攻陷，闪电节点密钥遭窃

一款广泛用于比特币支付处理的自托管开源工具 BTCPay Server 公布重大安全危机，确认其存在一个正在被活跃利用的高危漏洞。该问题允许攻击者远程获取连接的 LND 闪电网络节点管理员凭证，从而完全控制商户背后的支付基础设施。

漏洞波及旧版实例，知名机构已遭盗取

受影响版本为 2.4.2 之前的所有发行版。据披露，包括 Passport 硬件钱包开发商 Foundation 与媒体平台 Citadel21 在内的多个组织已在官方警告发布前遭受资金转移。目前尚无具体损失金额和受侵服务器数量的公开数据。

补丁不等于安全，凭证需手动重置

尽管 2.4.2 版本已修复漏洞并更新了 LND 组件与管理令牌，但项目方强调，仅升级无法挽回已泄露的凭证。运营者必须主动撤销原有管理员密钥，并将热钱包中的资产迁移至冷存储环境，方可防范进一步损失。

追回资金奖励机制公布

社区支持者联合发起一项激励计划：若成功追回被盗资金，举报人可获得追回总额的 10% 作为奖励，上限为 3 个比特币（约合 19 万美元）。信息提供者可通过 Signal 等加密通信方式提交线索，包括攻击者本人。赏金将依据信息价值、损失规模及实际追回情况协商分配。

对负责任披露者给予表彰

BTCPay Server 基金会向 Sparrow Wallet 开发者 Craig Raw 及 Bitcoin Red Team 基金各捐赠 0.21 比特币，以感谢其在漏洞公开前的私密通报行为。此举为开发团队争取了关键时间窗口，确保修复措施能在风险暴露前部署。

未报告受害者请尽快申报

尚未提交损失记录的用户应通过邮件向项目安全邮箱提交链上地址与交易明细。同时建议向当地执法机关报案，并联系可能持有相关资金的交易所或服务提供商，协助构建可追溯的证据链条。

多方协作推进追查与防御强化

项目方正与多家交易所安全部门、区块链分析公司及执法机构协同，推动资金冻结与追踪。未来将暂停新功能开发，优先推进系统加固。团队敦促用户将闲置资金移出热钱包，转存于离线冷存储环境中，以降低潜在风险。

此次事件再次凸显开源比特币基础设施在智能工具普及背景下所面临的严峻威胁。就在数日前，另一场由固件漏洞引发的攻击已导致 Coldcard 硬件钱包用户蒙受数千万美元损失，反映出整个生态正处在一个高度脆弱的阶段。