比特幣閃電網絡錢包與基礎設施商Alby確認，舊版Alby Hub存在嚴重漏洞

比特幣閃電網絡錢包與基礎設施商Alby確認，舊版Alby Hub存在嚴重漏洞，攻擊者在特定條件下可獲未授權訪問並轉出資金。

受影響範圍爲Alby Hub v1.7.0至v1.18.5，即2025年8月前發佈的版本。前提是Hub可從公網訪問，攻擊者能夠觸達管理接口。v1.19.0及之後版本不受影響，該版本於2025年8月29日發佈。

公司稱目前已知一名用戶受影響，並已報告細節。官方建議受影響用戶立即限制管理界面的公網訪問，升級至最新版v1.24.0；若此前曾對公網暴露，升級後還需更換解鎖密碼。未受影響用戶也被建議升至同一版本，以獲取額外安全修復。

完整技術細節將按負責任披露原則稍後公佈。最新版本同時修復了Bitcoin Team Red、Project Loupe等研究者報告的其他問題，其中包括備份恢復路徑穿越等缺陷。官方強調Hub本應運行在家庭網絡或VPN等私有環境，默認不應直接暴露到公網。

Alby Hub定位爲可自託管的閃電節點與錢包中樞，可用NWC協議連接外部應用。產品同時提供自建部署與雲端託管選項，管理接口若監聽全部網卡且無防火牆限制，會擴大攻擊面。

市場機制上，這是安全事件驅動的信任衝擊：自託管閃電工具的資金安全溢價受損，用戶短期傾向收縮公網暴露、遷移至已打補丁版本或更封閉的節點方案；安全審計與升級服務受益，仍運行舊版且端口開放的節點承壓。資金風險集中在可被遠程觸達的管理接口，而非閃電通道本身的日常路由。

公司表示將稍後公佈完整細節，當前披露重點是版本區間、公網暴露條件和升級路徑，而非損失總額。

來源：公開信息

ABAB AI 解讀

Alby從瀏覽器擴展走向自託管Hub，是爲把用戶從共享託管閃電節點遷到“一鍵自建節點”。2024年推出Hub後，舊託管賬戶曾因長期不活躍條款出現餘額被扣爭議，說明這條產品線一直在託管便利與自託管責任之間切換。此次漏洞落在管理接口而非支付通道協議，說明自託管產品把傳統服務端攻擊面一起帶進了用戶家裏。

資源被投向節點一鍵安裝、應用商店和NWC連接，安全邊界卻默認用戶不會把管理接口掛到公網。攻擊路徑一旦成立，資金可被直接轉出，修補只能靠版本升級和改密碼。動機是降低自建節點門檻，代價是把本該隔離的控制面暴露給互聯網掃描。

類似案例包括各類自託管錢包、節點面板因管理端口開放被掃到後失竊，以及閃電生態近期多起實現層漏洞迫使運營者強制升級。行業位置仍在擴張：把節點能力產品化，控制面成熟度落後於功能堆疊。

這屬於技術替代過程中的安全債務：用軟件面板替代專業運維後，定價權暫時留給“能連上就能用”的便利，直到一次未授權轉賬把便利改寫成必須打補丁的基礎設施。機制是管理API可達性決定資金主權，而不是助記詞保存在本地就等於安全。

ABAB News · 認知定律