BTCPay Server 刚发了正式事故通告，有一句我觉得比"赶紧升级"重要：如果你 11/1 之前还跑在 2.4.1 或更老的版本，升级了也不算完事。 … · @0xwolverines · TwKit

@0xwolverines

BTCPay Server 刚发了正式事故通告，有一句我觉得比"赶紧升级"重要：如果你 11/1 之前还跑在 2.4.1 或更老的版本，升级了也不算完事。 时间线是这样的。被利用的漏洞 8/7 就在 2.4.2 修了，攻击者这次换了一种打法去打同一个洞。通告里记的一笔盗刷发生在北京时间 11/1 晚上 9 点 46 分，凌晨 4 点 56 官方收到第一封报案邮件，早上 6 点 25 在 X 上喊所有人先关机。最早什么时候开始被利用，官方说还没查清。从补丁发出到出事隔了 86 天，这段时间没升的服务器一直敞着。 官方给 2.4.1 及更早版本的建议很重：把热钱包里剩下的钱扫到一个新助记词的新钱包，旧机器下线、留日志，开一台全新的 VPS 重装最新版，别整机恢复旧备份，托管、SSH、API、闪电网络这些凭据全部从干净设备上换掉。理由也说得很直白，升级删不掉攻击者已经拿到的访问，余额没少也不能证明没被进过。 通告公布了 BTC 和 LTC 各一个资金去向地址，网上已经有人拿余额算损失了，但通告特意写了，有些交易早于这次事件，余额不能当成确认的损失总数。我不会去转那些数字。 钥匙放在硬件钱包、服务器上只收款的商户，这次没受影响。通告最后还点了一句，AI 自动化攻击变多了，补丁出来就要装。我自己会把自托管收款机的升级当成跟续费一样的固定日程，热钱包里只留当天要用的钱。 通告原文：http://blog.btcpayserver.org/btcpay-server-security-incident-2-4-1-and-earlier/ #BTCPay #比特币 #安全

曝光 60 · 评论 0 · 点赞 0 · 书签 0