BTCPay Server關鍵漏洞已遭利用
BTCPay Server發佈緊急安全公告，2.4.2以前所有版本（含候選版）存在關鍵漏洞，且已確認遭實際利用並導致用戶資金被盜。
該漏洞可讓未經身份驗證的遠程攻擊者獲取LND的.macaroon憑證文件，進而控制LND節點並轉移資金；官方敦促使用LND的用戶立即升級至BTCPay Server 2.4.2和LND 0.21.1，鏈上錢包不受影響，暫未披露具體被盜金額。
事件驅動下LND相關節點資金被轉移，攻擊者獲取憑證後直接控制並抽走資金，自託管閃電網絡用戶承壓，官方修復版本受益。
來源：公開信息
ABAB AI 解讀
BTCPay Server作爲開源自託管比特幣支付處理器，此前以無中介、無手續費特性吸引自主權用戶與商戶，核心貢獻者曾估計全球有數十萬運行實例，GitHub主倉庫下載超百萬次；此次漏洞暴露其在API權限與憑證文件管理上的長期薄弱點。
資金通過被盜LND macaroon憑證直接從閃電節點渠道轉移，動機在於利用未認證遠程訪問繞過防護，快速清空通道餘額；類似路徑可見於此前閃電網絡節點因憑證泄露或配置失誤導致的資金損失事件。
對標其他自託管比特幣工具如Electrum或各種節點軟件在憑證與權限設計上的歷史安全事件，當前處於開源支付基礎設施從功能擴張向強制安全加固的轉型階段。
本質屬於技術替代中的監管變化邊緣：自託管模型將安全責任完全推給用戶，漏洞一旦被利用即直接導致資金損失，機制在於憑證文件持久化且可被遠程獲取，迫使全網緊急遷移至修復版本以切斷攻擊路徑。
ABAB News · 認知定律
自託管的安全責任永遠在用戶
憑證泄露等於資金開門
開源免費不等於零風險