BTCPay敦促更换钱包，疑似盗窃金额约163万美元

攻击者盗取比特币和莱特币后，BTCPay Server敦促商户更换钱包并重建过时的支付服务器。这家开源比特币支付软件提供商在11月2日发布的安全公告中提出了上述建议。BTCPay警告称，如果攻击者已经访问服务器，更新软件仍可能无法避免资金暴露。此次攻击针对2.4.1版及更早版本的安装，利用了另一种方式攻击一个已于8月7日修补的漏洞。

区块链分析公司Bitquery追踪到10月30日至11月2日期间约163万美元的疑似盗窃资金。Bitquery发现了682笔钱包归集交易，涉及18.38枚BTC和3,405枚LTC。Bitquery发现，11月1日有一段持续8小时的时间，转移资金占总额的87%。Bitquery估算，交易最密集的一小时内转移资金约72.5万美元。BTCPay既未确认损失总额，也未确定有多少商户遭到入侵。

BTCPay公开要求运营者关闭服务器后，疑似盗窃仍在持续。Bitquery发现，在BTCPay于11月1日22:25 UTC发出警告后，又出现267笔钱包归集交易，涉及约15万美元。Bitquery整夜持续记录转账，直到该公司于11月2日06:00 UTC停止统计。BTCPay称，已联系LunaNode等托管服务提供商，出于预防考虑将受影响的安装下线。BTCPay于20:56 UTC通过电子邮件收到首份盗窃报告，但其调查发现，当天下午更早时候已有一个钱包被转空。

BTCPay称，截至11月的警告发布时，运行2.4.2版或更高版本的服务器未受此次攻击影响。BTCPay还确认，所报告的盗窃事件未影响支出密钥保存在服务器之外的钱包，包括硬件钱包。不过，BTCPay敦促此前使用过易受攻击版本的运营者迁移至全新安装的服务器，即使他们已更新软件或未发现资金损失。即使漏洞已修补，此前获得管理权限的攻击者仍可能持有可用凭证或钱包密钥。

BTCPay建议使用可信设备和全新的助记词创建钱包，并将旧热钱包中的剩余资金转出。运营者必须弃用现有服务器，同时保留交易记录和相关日志。运营者必须在新的虚拟机上安装最新的受支持软件，不得恢复此前的系统。运营者应使用可信设备更换可能已暴露的托管账户密码、SSH凭证、应用访问密钥、API密钥和闪电网络凭证。

Bitquery发现，截至11月2日早些时候，超过99%的疑似被盗资金仍留在盗窃发生时最初使用的地址中。Bitquery未发现资金转入已知交易所。Bitquery提醒称，682笔归集交易并不代表有同等数量的商户受到影响，因为多笔交易可能来自同一个被转空的钱包。BTCPay警告称，部分涉及已识别地址的活动似乎早于所报告的事件。BTCPay尚未确定完整的攻击时间线，也未能确切识别哪些交易涉及盗窃。

BTCPay对未能充分联系使用过时安装版本的运营者表示遗憾，此前该公司已于8月发布安全公告。自8月以来，BTCPay又发布了多项安全更新，包括10月29日发布的2.4.7版。BTCPay仍在调查入侵事件，并收集受影响运营者提供的报告和交易记录。