BTCPay Server的支持者近日宣布，将提供最高3 BTC（约合19万美元）的赏金，用于征集能够追回近期漏洞攻击中被盗比特币的有效线索。该项目于周一通过X平台发布公告，将赏金范围扩大至任何提供 actionable 信息的人士，包括攻击者本人。
BTCPay Server团队在公告中表示：“我们将反思自身错误，但仅靠悔恨无法帮助受影响用户，也无法保障项目安全。我们必须争分夺秒地学习、改进并迅速行动。”上周五，BTCPay Server首次向用户发出攻击警告，建议用户升级至2.4.2版本或暂时将服务器下线。当时，项目方尚未确认任何盗窃事件，也未披露技术细节。
据BTCPay Server透露，该漏洞使攻击者能够获取LND管理员macaroon凭证——这类凭证可授予对闪电网络节点的完全控制权限——并利用其访问关联钱包。闪电网络是构建于比特币区块链之上的二层支付协议，旨在实现更快、更便宜的交易。节点通过用户之间的通道路由支付，而泄露的管理员凭证可能会暴露资金。
截至目前，BTCPay Server尚未披露被盗比特币的总量、受影响用户人数，以及是否有任何资金已被追回。若多条线索共同促成资金追回，赏金将根据受害者损失、追回金额以及每条线索的有效性，与受害者协调分配。此外，BTCPay Server基金会将向安全研究员Craig Raw和Bitcoin Red Team基金各捐赠0.21 BTC，以奖励其负责任地披露该漏洞。
BTCPay Server表示：“这些捐赠虽然不多，但作为开源项目，这是我们能够表达感谢的方式，也感谢那些从事关键安全研究、为整个生态系统做出贡献的人。”该公司称，正在加强代码审查，并优先处理安全补丁而非新功能。同时指出，人工智能技术正在降低攻击者发现比特币软件漏洞的门槛。
BTCPay Server写道：“在当今环境下保护软件，需要更好的工具、更全面的审查、更迅速的安全响应，以及对发现并负责任地报告漏洞的研究人员的支持。”