惡意機械人掃描外露比特幣收款伺服器　企圖竊取管理員金鑰

比特幣收款處理器 BTCPay Server 發出警告，近期有自動化機械人正針對外露的 Lightning 節點進行探測，尋找取得管理員控制權的入口。BTCPay 指出，這波活動發生在另一宗關鍵漏洞事件之後：約一個月前，攻擊者曾利用 BTCPay 的嚴重漏洞取得保護 LND 節點的憑證，並把商戶錢包資金轉走。其後 BTCPay 已在預設 Docker 部署中停用 LND（Bitcoin Lightning Network 的常用實作）的外部存取。 項目團隊最新表示，現時的攻擊目標集中於部分營運者手動恢復外部存取的伺服器；機械人會反覆呼叫 LND 的 passwordchange 端點。BTCPay 強調，這次觀察到的手法與 8 月被利用的漏洞不同，但結果可能相近：攻擊者一旦取得可用憑證，便可能接管 LND 節點。 BTCPay 解釋，風險窗口出現在 LND 重新啟動後一段很短時間內，當時錢包仍處於鎖定狀態；在這段期間，被鎖定狀態下的 passwordchange 方法毋須提供 macaroon（LND 平時用來授權管理操作的憑證）。部分較舊的 BTCPay LND 錢包更因使用共用的預設密碼而放大風險。若攻擊者能在 BTCPay 內部解鎖程序之前連上介面，便可能搶先提交該密碼、改寫密碼，繼而申請可控制節點的管理員 macaroon。 BTCPay 表示，目前未有收到透過這種新近活動成功接管的通報，也未把相關機械人與 8 月盜幣事件的攻擊者作出關聯。 這輪探測令 BTCPay 的保安壓力再度升溫。BTCPay 早於 8 月 7 日承認，攻擊者利用影響 2.4.2 之前所有版本的漏洞發動攻擊；該漏洞讓未經驗證的攻擊者取得 LND 的 macaroon 檔案，從而轉移資金。BTCPay 的標準 onchain 錢包未受影響。其後數日，項目及支持者提出懸賞，金額相當於追回比特幣的 10%，上限 3 BTC，當時約值 190,000 美元；同時亦聯絡交易所、區塊鏈分析公司及執法部門協助追查失款。 BTCPay 於 9 月 7 日發布 2.4.4 版本，已修正觸發最新攻擊路徑的相關條件：新建立的 LND 錢包會採用獨立的隨機密碼；舊有使用共用憑證的安裝亦會被遷移並強制更換密碼。BTCPay 的標準反向代理亦會封鎖未經驗證的錢包設定及解鎖方法，透過其管理的公開網絡路徑關閉「重啟期間」的漏洞窗口。 BTCPay 同時提醒，上述防護無法保障由營運者自行配置的基礎設施。若管理員自建反向代理或以其他方式把 LND 公開到互聯網，仍可能繞過 BTCPay 的保護。BTCPay 促請管理員安裝 2.4.4 並移除手動外露的 LND 路由。 BTCPay 補充，一項於 9 月 11 日合併的 routecontrol 改動，提供支援的遠端存取選項，同時維持 LND 與 Core Lightning 介面預設停用。現階段最大風險仍來自自訂部署：相關營運者需要審核代理規則，並把遠端連線遷移至 BTCPay 管理的控制機制之後，因為自動化系統仍在持續搜尋可連線的節點。 原文最先刊登於 CryptoSlate。