Post

密钥没被偷，凭证被偷了 上周的教训是种子怎么生成的，这周换了一层：钱包本身没事，钱包旁边的东西出了事。 据 CoinDesk 报道，8 月 7 日晚跑在 BTCPay Server 后面的一批闪电网络节点被洗空。BTCPay 要求所有运行 LND 的人立即升级到 2.4.2 版或下线服务器。攻击者从头到尾没碰过私钥，拿到的是 .macaroon 凭证——一张"代表你说话"的通行证。受害者里有硬件钱包厂商 Foundation。 规模仍是未知数：项目方没披露多少用户中招、被拿走多少币。别引用任何总额。 漏洞不是攻击者先发现的，此前已由 Bitcoin Red Team 报给 BTCPay。同一批人的协同审计里，16 名开发者用 AI 扫比特币代码库，提交 4962 个发现，85 个严重。原话是"情况极其糟糕"。 BTCPay 的时间线演示了后果：漏洞已被负责任披露，等公开警告发出时，攻击者已经在打线上服务器。 这周的信息不是"某个牌子不安全"，是攻击面比"私钥存在哪里"宽得多。 作者在做门限 ECDSA 的 MPC 钱包，有立场。判断请自己做。