BTCPay Server宣布悬赏最高3 BTC追回被盗资金：事件详情及行业影响
8月10日，支付服务器BTCPay Server正式宣布了一项奖励计划，旨在奖励那些帮助追回近期因严重漏洞而从闪电网络节点被盗资产的人。该计划将支付追回金额的10%作为奖励，但设有3 BTC（约19万美元）的严格上限，前提是损失得到全额赔偿。资金由匿名赞助商和项目合作伙伴提供，官方声明中称他们为BTCPay Server的“朋友和支持者”。
关键点在于：该提议不仅面向第三方专家，也面向攻击者本人。如果多人参与追回资金，奖励将根据他们的贡献按比例分配——考虑每个受害者的损失规模、追回的币种比例以及所提供信息的实际价值。这种方法展现了团队的灵活性，同时也凸显了局势的严重性：项目甚至愿意与黑客进行谈判。
除主要奖励外，BTCPay Server基金会还将向Sparrow Wallet开发者克雷格·罗和志愿者团体Bitcoin Red Team各发放0.21 BTC，以表彰他们负责任地披露漏洞。这些金额并不高，项目方也承认这一点，并将其归因于BTCPay作为FOSS（自由开源软件）倡议的非营利性质。然而，对社区而言，这是一个重要信号：即使在预算有限的情况下，负责任披露的道德行为也应得到奖励。
事件的规模至今尚未公开——无论是确切的损失金额还是受影响的节点数量。团队承诺稍后发布完整的技术分析。目前已知的是，攻击仅影响了与LND相关的组合，而链上钱包未受影响。在2.4.2版本中，Docker构建上的LND API公共访问已被暂时禁用：像Zeus这样的外部钱包在安全审查完成前，无法通过BTCPay域名或onion地址进行连接。
目前，团队正专注于修复补丁，并引入外部审计人员加强代码审查。他们正在研究Bitcoin Red Team、Project Loupe、Magic Grants以及独立研究人员的报告。建议受害者联系当地执法部门和可能收到被盗币的服务机构。交易所的安全团队、区块链分析公司和政府机构已主动提供帮助。
值得注意的是，BTCPay将此类攻击的增加与人工智能的普及联系起来。模型使得在大型代码库中寻找漏洞变得更快、更便宜，这使力量平衡向攻击者倾斜。“比特币项目是最诱人的目标，但其他软件也无法避免同样的命运，”开发者们指出。这不仅仅是借口，而是一个真实趋势：自动化攻击正在变得普遍，行业必须重新审视安全方法。
我的分析结论
BTCPay事件再次提醒我们，即使是成熟的开源项目也存在漏洞，而闪电网络尽管具有创新性，仍然是一个复杂且高风险的基础设施。3 BTC的奖励与其说是追回资金的尝试，不如说是为恢复社区信任而采取的公关举措。然而，这里更重要的教训是：随着人工智能能力的增长，代码安全必须成为所有比特币项目的首要任务，否则我们将看到一波类似的漏洞利用事件。