BTCPayServer漏洞引发闪电网络节点资金被盗事件

近期，BTCPayServer平台暴露的安全缺陷已演变为针对Lightning Network节点的系统性攻击。攻击者通过获取关键访问凭证，远程操控节点并转移资金。为应对风险，该平台已临时关闭远程连接功能，目前仅限本地访问。尽管有机构报告资产损失，但具体金额仍不明确。

攻击者利用凭证控制节点完成资金转移

调查发现，攻击者成功窃取了用于管理Lightning Network Daemon（LND）节点的“macaroon”令牌。此类凭证具备完全控制权限，可直接执行支付、关闭通道及调用资金操作，使攻击者得以在无授权情况下清空节点余额。

平台恢复机制与功能影响说明

BTCPay Server表示，待安全验证通过后将逐步恢复远程访问服务。值得注意的是，当前限制仅针对特定接入方式，而Lightning支付链路本身未受影响，用户仍可正常进行交易结算。

节点运营者须主动核查异常行为

官方建议所有运营商在升级后立即检查节点状态，重点关注以下可疑迹象：通道在未经许可的情况下意外关闭、存在未知对等连接、链上余额与Lightning账面记录不符。这些指标是判断是否已被入侵的重要依据。

自定义部署用户需手动刷新凭证

对于采用独立反向代理、Tor中继或端口映射等非标准路径接入的运营商，其访问通道不受自动更新机制保护。尽管2.4.2版本已升级LND至0.21.1并自动重置凭证，但若使用外部配置，则必须自行执行凭证刷新操作，否则仍面临被攻破风险。

两家核心机构确认遭受资金损失

至少两位节点运营方公开承认在此次事件中蒙受损失。比特币硬件钱包厂商Foundation的首席执行官Zach Herbert披露，其公司的闪电网络节点在一夜之间被清空，虽热钱包未受波及，但所有通道资金已被攻击者提取。同时，比特币内容平台Citadel21也宣布其节点遭遇相同命运。两家机构均未公布确切损失数额。

整体影响范围仍在评估中

目前确认受影响的运营者数量有限，但实际规模尚无法确定。该事件是近期比特币生态中接连出现的安全问题之一，反映出周边工具链的风险暴露，而非比特币核心协议本身缺陷。此前Coldcard硬件钱包漏洞也曾造成数百万美元资产流失。投资者应加强安全审计，警惕第三方服务潜在隐患。