BTCPay 支持方就近期比特币失窃事件提出悬赏方案，承诺拿出追回资金的 10% 作为奖励，上限为 3 枚 BTC。项目方表示，这一奖励适用于任何能帮助追回资金的人，其中也包括攻击者本人。

周五已提示用户升级

BTCPay 上周五首次向用户发出警告，要求安装 2.4.2 新版本，或暂时关闭服务器。当时项目方尚未确认是否已有资金被盗，也没有披露漏洞的具体利用方式。

最新说明显示，攻击者利用漏洞获取了 LND 的管理员 macaroon。该凭证可对闪电网络节点进行较高权限操作，进而访问与节点相连的钱包并转走比特币。

漏洞涉及 LND 管理凭证

LND 是比特币闪电网络常用实现之一。闪电网络则是建立在比特币主链之上的二层支付网络，主要用于更快、成本更低的小额支付。攻击者一旦拿到相关管理凭证，就可能控制节点对应的钱包权限。

BTCPay 目前没有披露被盗比特币总额，也未说明受影响用户数量，或是否已有资金被追回。项目方称，如果多条线索都对追回资金有帮助，奖励将与受害者协调后分配，并综合考虑各受害者损失、追回金额和线索价值。

项目方追加安全奖励

除追回资金悬赏外，BTCPay Server Foundation 还表示，将分别向安全研究员 Craig Raw 和 Bitcoin Red Team 基金各捐赠 0.21 BTC，以表彰其负责任地披露漏洞。

项目方还称，后续将加强代码审查，并把安全补丁置于新功能之前。BTCPay 提到，随着 AI 降低漏洞挖掘门槛，比特币软件面临的安全压力正在上升，项目需要更快的安全响应和更充分的审查流程。