BTCPay Server 严重漏洞致闪电节点资金被掏空：2026年8月安全事件与应急响应全解析

本文将详细解析事件经过、受影响群体、运营者需采取的紧急措施，以及同一周内更广泛的安全形势。

BTCPay Server漏洞：API认证层的逻辑错误

BTCPay Server中被利用的漏洞是其Greenfield API认证层的一个逻辑错误。Greenfield API是供外部集成商、自动化系统和钱包后端使用的接口。关键在于，该漏洞允许未经身份验证的远程攻击者窃取LND（闪电网络守护进程）的**.macaroon凭证文件**——这些文件是管理闪电网络节点权限的访问令牌。

一旦攻击者获取了macaroon凭证，他们就能完全控制所连接的LND节点，并清空其通道余额。该漏洞由Bitcoin Red Team发现并负责任地披露。

重要澄清： 这是一个软件/应用层的漏洞。比特币的底层协议并未被攻破。攻击针对的是自托管支付处理器的认证逻辑，而非比特币区块链或闪电网络协议本身。

受影响群体

该漏洞特别影响使用LND（闪电网络守护进程）——运营闪电节点最广泛使用的软件——的配置。

• 运行BTCPay Server并使用LND的商家、交易所和钱包后端，涉及版本为2.4.2之前的所有版本，包括2.4.2的候选版本。
• 如果攻击者实现了对服务器的完全控制，BTCPay中生成的热链上钱包同样面临风险。
• 未运行LND或完全不使用闪电网络的用户不受此凭证窃取风险的影响。

多家知名比特币组织确认其闪电节点已被清空。硬件钱包制造商Foundation和比特币出版物Citadel21是已被确认的受害者之一。

运营者需采取的紧急措施

BTCPay Server及其首席维护者Nicolas Dorier发布了紧急公告，包含两个必须执行的操作：

1. 立即更新——通过管理面板 → 服务器 → 维护 → 更新，升级到BTCPay Server 2.4.2版本，并在页脚确认版本号。
2. 关闭服务器——如果无法立即更新。

此外，运营者被告知还必须撤销并重新生成所有LND macaroon凭证，因为打补丁只能阻止新的凭证被窃取。在漏洞利用窗口期间已被窃取的凭证仍然有效，攻击者可继续利用它们转移资金。该项目还建议将钱包跟踪后端NBXplorer升级到2.6.10版本。

同一周内其他比特币支付层安全事件

BTCPay漏洞是在大约十天内发生的第二起重大比特币基础设施安全事件。两起事件均发生在2026年7月底和8月初，被部分媒体称为比特币的“漏洞之周”。

Coldcard硬件钱包固件漏洞（7月30日 – 8月3日）

Coldcard固件4.0.0版本（自2021年3月起存在）中的一个关键漏洞，导致设备在密钥生成时绕过其专用硬件随机数芯片，转而使用可预测的软件替代方案。这使得攻击者可以穷举出种子短语。

攻击者利用此漏洞从超过5,200个地址中窃取了超过1.16亿美元的比特币，盗窃分四波进行，始于7月30日。Galaxy Research追踪了链上资金流动，并识别出至少15个不同的攻击者利用该漏洞。根据报道时的估值，被盗总额估计在1.16亿美元到超过1.3亿美元之间。

广泛自动化安全审计（8月8日）

为直接响应Coldcard和BTCPay事件，一个由比特币开发者组成的志愿者小组利用AI工具发起了一项协调安全审计。在24小时内，他们在大约400个项目中发现了近5,000个安全漏洞，情况被描述为“极其糟糕”。调查结果包括85个关键和635个高严重性的漏洞，其中大部分已被项目所有者确认。

给比特币运营者的关键启示

1. 在发布关键安全公告时立即打补丁。 BTCPay团队对正在进行的攻击保持透明，但部分运营者推迟了修补，导致了已确认的损失。
2. 撤销凭证通常与打补丁同等重要。 修复漏洞的补丁不会使已被窃取的凭证失效。在BTCPay更新之后，运营者仍须撤销并重新生成所有LND macaroon。
3. 二层网络的安全性依赖于一层运营者的谨慎操作。 虽然闪电网络协议本身未被攻破，但通过BTCPay API暴露凭证表明，自托管支付软件中的弱点可能级联导致闪电网络用户的资金损失。
4. 生态系统正在进行自我审计。 志愿者主导的AI安全审计在400个项目中发现了近5,000个漏洞，这既展示了问题的严重性，也体现了社区解决问题的意愿。

BTCPay Server事件与同时期的Coldcard漏洞，共同构成了比特币基础设施安全的一个分水岭。这些事件加剧了业界对更严格代码审查、自动化安全工具以及在开源比特币生态系统内建立更快响应协议的呼声。