BTCPay hạn chế truy cập Lightning từ xa sau khi tin tặc đánh cắp tiền

cointelegraphXuất bản vào 2026-08-09Cập nhật gần nhất vào 2026-08-09

Tóm tắt

BTCPay Server đã tạm thời hạn chế kết nối từ xa công khai đến các nút Lightning Network (LND) sau khi kẻ tấn công khai thác một lỗ hổng nghiêm trọng để lấy thông tin xác thực và chiếm đoạt tiền. Biện pháp này ngăn các ví bên ngoài (như Zeus) kết nối qua tên miền BTCPay hoặc địa chỉ Tor trên các triển khai Docker, trong khi thanh toán Lightning vẫn hoạt động. Phiên bản cập nhật 2.4.2 cài đặt LND 0.21.1 và tự động tạo lại thông tin đăng nhập "macaroon". Dự án khuyến nghị người vận hành kiểm tra các giao dịch trái phép, kênh đóng bất ngờ hoặc số dư bất thường. Ít nhất hai bên (Foundation CEO Zach Herbert và ấn phẩm Citadel21) đã báo cáo tổn thất từ nút Lightning của họ. Đây là sự cố bảo mật mới nhất liên quan đến phần mềm Bitcoin, sau lỗ hổng ví cứng Coldcard trước đó.

BTCPay Server đã tạm thời hạn chế các kết nối từ xa công khai đến các nút Lightning Network chạy phần mềm Lightning Network Daemon (LND) sau khi kẻ tấn công khai thác một lỗ hổng nghiêm trọng để lấy thông tin xác thực và di chuyển tiền.

BTCPay cho biết hạn chế này ngăn các ví bên ngoài như Zeus kết nối thông qua tên miền BTCPay Server hoặc địa chỉ Tor onion trên các triển khai Docker. BTCPay cho biết các khoản thanh toán Lightning vẫn có thể tiếp tục và dự định khôi phục tùy chọn truy cập từ xa khi họ cho là an toàn.

Phiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại thông tin xác thực macaroon trên các cài đặt BTCPay tiêu chuẩn. Dự án khuyến nghị người vận hành kiểm tra các khoản thanh toán trái phép, việc đóng kênh bất ngờ, các node ngang hàng lạ và sự chênh lệch trong số dư trên chuỗi hoặc Lightning.

Sự cố xâm nhập BTCPay là sự cố bảo mật mới nhất liên quan đến các sản phẩm Bitcoin được sử dụng rộng rãi, sau lỗ hổng phần cứng ví lạnh Coldcard liên quan đến hơn 100 triệu USD tổn thất đã được xác nhận. Các sự cố riêng biệt này ảnh hưởng đến phần mềm xung quanh Bitcoin hơn là giao thức cơ bản của mạng.

Bản cập nhật tự động xoay vòng thông tin xác thực Lightning

BTCPay cho biết lỗ hổng cho phép kẻ tấn công từ xa không xác thực lấy được các tệp thông tin xác thực "macaroon" được sử dụng để kiểm soát LND, một triển khai của Lightning Network. Dự án cho biết thông tin xác thực bị lộ có thể cho phép kẻ tấn công kiểm soát một nút LND và di chuyển tiền của nó.

Theo thông báo bảo mật của dự án, phiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại thông tin xác thực macaroon trên các cài đặt BTCPay tiêu chuẩn. Họ khuyến nghị người vận hành kiểm tra các khoản thanh toán trái phép, việc đóng kênh bất ngờ, các node ngang hàng lạ và sự chênh lệch giữa hồ sơ của họ với số dư trên chuỗi hoặc Lightning.

Liên quan: Lỗ hổng Coldcard đẩy tổn thất tháng 7 lên 247 triệu USD thành tháng tồi tệ thứ hai của năm 2026

BTCPay cũng cho biết những người vận hành để lộ LND thông qua reverse proxy riêng, dịch vụ Tor, cổng được chuyển tiếp hoặc một đường dẫn khác bên ngoài BTCPay phải tự xoay vòng thông tin xác thực của họ. Dự án cho biết cài đặt bản cập nhật không đóng các đường truy cập được quản lý độc lập bởi người vận hành.

Ít nhất hai người vận hành đã công khai báo cáo tổn thất. Giám đốc điều hành Zach Herbert của Foundation cho biết nút Lightning của công ty phần cứng ví đã bị rút cạn qua đêm. Sau đó, ông làm rõ rằng ví nóng của họ không bị ảnh hưởng, trong khi các kênh Lightning của họ bị đóng và số tiền bị lấy sạch.

Tạp chí Bitcoin Citadel21 cũng báo cáo rằng nút Lightning của họ đã bị lấy sạch. Không người vận hành nào tiết lộ số tiền bị mất.

Tạp chí: 10 thứ kỳ lạ nhất từng được token hóa... kể cả tiếng xì hơi

Câu hỏi Liên quan

QBTCPay Server đã thực hiện hành động gì sau khi phát hiện lỗ hổng bảo mật?

ABTCPay Server đã tạm thời hạn chế kết nối từ xa công khai đến các nút Lightning Network đang chạy phần mềm LND (Lightning Network Daemon) sau khi tin tặc khai thác một lỗ hổng nghiêm trọng để lấy thông tin xác thực và di chuyển tiền.

QPhiên bản BTCPay Server 2.4.2 đã cài đặt phiên bản LND nào và thực hiện điều gì với thông tin xác thực?

APhiên bản 2.4.2 cài đặt LND phiên bản 0.21.1 và tự động tạo lại các thông tin xác thực "macaroon" trên các bản cài đặt BTCPay tiêu chuẩn.

QLỗ hổng trong BTCPay cho phép kẻ tấn công làm gì?

ALỗ hổng cho phép kẻ tấn công từ xa không cần xác thực để lấy các tệp thông tin xác thực "macaroon" được sử dụng để kiểm soát LND. Thông tin xác thực bị lộ có thể cho phép tin tặc kiểm soát nút LND và di chuyển tiền của nó.

QCác nhà khai thác được khuyến nghị kiểm tra những điều gì sau khi cập nhật?

ACác nhà khai thác được khuyến nghị kiểm tra các giao dịch thanh toán trái phép, việc đóng kênh Lightning không mong muốn, các đối tác lạ và sự chênh lệch giữa hồ sơ của họ với số dư trên chuỗi (onchain) hoặc trên Lightning.

QAi là những nhà khai thác đã công khai báo cáo tổn thất do vụ việc này?

AÍt nhất hai nhà khai thác đã công khai báo cáo tổn thất: Giám đốc điều hành của Foundation (một công ty ví cứng) Zach Herbert và ấn phẩm Bitcoin Citadel21. Cả hai đều không tiết lộ số tiền bị mất.

Nội dung Liên quan

Elon Musk, Có Phải Đang Muốn Làm Cuộc Cách Mạng Với Máy Quang Khắc EUV?

Một blogger đã đăng thông tin cho rằng, dựa trên thông báo từ TeraFab, Elon Musk dường như đang theo đuổi hướng công nghệ FEL (Free Electron Laser) để thách thức sự độc quyền của EUV truyền thống. Elon Musk cũng có phản hồi dường như xác nhận điều này, tuy nhiên đây vẫn là suy đoán. FEL không phải là công nghệ mới. Về nguyên lý, FEL sử dụng chùm electron năng lượng cao di chuyển qua một từ trường dao động để tạo ra ánh sáng laser có bước sóng có thể điều chỉnh, bao gồm cả vùng EUV. Trong khi nguồn sáng EUV LPP truyền thống của ASML phát ra ánh sáng cố định ở 13.5 nm, FEL được ví như một "công cụ quang học" linh hoạt có thể thay đổi bước sóng. Công ty khởi nghiệp Mỹ xLight là một trong những người ủng hộ phương án này. Trong mô hình của họ, ánh sáng EUV được tạo ra trong một máy gia tốc hạt tập trung, sau đó được truyền qua các đường ống đến nhiều máy quang khắc trong nhà máy. XLight tuyên bố công nghệ của họ có thể tạo ra công suất cao gấp 4 lần, giảm chi phí vốn và vận hành, đồng thời hỗ trợ nhiều máy quét ASML từ một nguồn sáng trung tâm. FEL cũng được cho là có hiệu suất năng lượng cao hơn đáng kể so với LPP. Tuy nhiên, việc áp dụng FEL cho sản xuất chip hàng loạt không thể thực hiện ngay lập tức. Mặc dù ưu thế về hiệu suất vật lý, EUV của ASML đã có một hệ sinh thái công nghiệp hoàn chỉnh, đáp ứng các yêu cầu khắt khe về sản xuất như công suất cao, độ ổn định, độ tin cậy và chi phí. Các hệ thống FEL hiện tại thường cồng kềnh và đắt đỏ. Tiềm năng thực sự của FEL có thể nằm ở việc mở ra một con đường mới cho nguồn sáng bước sóng ngắn (như 6nm, 5nm), với ưu điểm về độ sáng cao, tính kết hợp và khả năng điều chỉnh bước sóng, nhưng đi kèm là những thách thức lớn về hệ thống quang học, mặt nạ và vật liệu ở các bước sóng ngắn hơn.

marsbit59 phút trước

Elon Musk, Có Phải Đang Muốn Làm Cuộc Cách Mạng Với Máy Quang Khắc EUV?

marsbit59 phút trước

Giải phóng Token Tuần Này: YZY Giải Phóng Lớn, Trị Giá 35.7 Triệu USD

Trong tuần này, thị trường tiền điện tử chứng kiến đợt mở khóa token đáng chú ý từ hai dự án YZY và Starknet, với tổng giá trị lên tới hàng chục triệu USD. Dự án YZY, đồng tiền mã hóa được phát hành bởi Kanye West, sẽ mở khóa 120 triệu token, tương đương khoảng 35.73 triệu USD. Thông tin chi tiết về lộ trình phân phối token đã được công bố kèm theo biểu đồ. Song song đó, Starknet - giải pháp Layer 2 cho Ethereum sử dụng công nghệ zk-STARKs để tăng tốc độ giao dịch và giảm phí - cũng sẽ mở khóa 130 triệu token, trị giá khoảng 3.19 triệu USD. Dự án này, phát triển bởi công ty StarkWare có trụ sở tại Israel, cho phép xác minh tính toán mà không cần tất cả các nút mạng xác thực mọi hoạt động, nhằm tăng đáng kể thông lượng mạng. Cả hai dự án đều đã công khai đường cong phân phối token cụ thể cho đợt mở khóa lần này.

marsbit2 giờ trước

Giải phóng Token Tuần Này: YZY Giải Phóng Lớn, Trị Giá 35.7 Triệu USD

marsbit2 giờ trước

Cuộc đấu quyền lực AI kéo dài 10 năm tại Google kết thúc, Pichai 'giải trừ binh quyền' một cách êm thấm

Google đã hoàn thành một cuộc tái cấu trúc nhân sự lớn trong lĩnh vực AI mà không có kẻ thua cuộc công khai. Ngày 6/8, Demis Hassabis, người sáng lập DeepMind, từ chức Giám đốc điều hành Google DeepMind để đảm nhận vị trí Chủ tịch kiêm Nhà khoa học trưởng của Alphabet, tập trung vào chiến lược AGI dài hạn. Cùng lúc, nhà khoa học kỳ cựu Jeff Dean rời Google để khởi nghiệp. Bài viết phân tích đây là đỉnh điểm của cuộc đấu đá nội bộ kéo dài một thập kỷ giữa hai trường phái: DeepMind (hướng nghiên cứu AGI thuần túy) và Google Brain (hướng kỹ thuật ứng dụng thực tế). Sau khi ChatGPT xuất hiện, CEO Sundar Pichai đã thúc đẩy hợp nhất hai đơn vị vào năm 2023, trao quyền lãnh đạo danh nghĩa cho Hassabis nhưng thực chất là tập trung quyền kiểm soát. Trong khi Hassabis trở thành gương mặt công chúng đưa Gemini bắt kịp đối thủ, Pichai âm thầm đưa Koray Kavukcuoglu, một chuyên gia kỹ thuật thực thi, lên vị trí then chốt. Đến giữa năm 2026, tiến độ Gemini chậm lại và sự mệt mỏi của Hassabis với "cuộc chạy đua vũ trang kỹ thuật" đã chín muồi, dẫn đến thay đổi. Hassabis được "thăng chức" một cách danh dự nhưng bị tước quyền điều hành thực tế. Jeff Dean ra đi nhưng được Google đầu tư để giữ liên kết. Koray chính thức lên nắm toàn bộ hoạt động Gemini, báo cáo trực tiếp cho Pichai. Bài học từ vụ việc cho thấy quyền kiểm soát AI tại Google đã chuyển giao từ các nhà khoa học thiên tài sang các nhà quản lý chuyên nghiệp và kỹ sư thực thi. Pichai đặt cược rằng cuộc đua AI đã bước vào thời kỳ công nghiệp hóa, nơi sự ổn định hệ thống, khả năng chuyển giao và hiệu quả tổ chức quan trọng hơn là tầm nhìn của một cá nhân đơn lẻ. Sự tái cấu trúc êm thấm này đánh dấu một bước tiến hóa tổ chức sâu sắc của Google.

marsbit2 giờ trước

Cuộc đấu quyền lực AI kéo dài 10 năm tại Google kết thúc, Pichai 'giải trừ binh quyền' một cách êm thấm

marsbit2 giờ trước

Giám đốc OpenAI: Harness như Codex, chỉ còn hot thêm 2 tháng nữa

"Chỉ còn 2-3 tháng nữa, Codex sẽ trở thành một công cụ thô sơ." Đây là nhận định của Thibault Sottiaux, Giám đốc Sản phẩm & Nền tảng tại OpenAI, người phụ trách ChatGPT và Codex. Hiện tại, các framework Harness và AI Agent như Codex đang phổ biến, giúp tự động hóa nhiều tác vụ. Tuy nhiên, giới lãnh đạo OpenAI đã nhìn thấy bước tiến tiếp theo: sự tiến hóa từ các công cụ cục bộ sang "cơ sở hạ tầng bản địa đám mây" (cloud-native infrastructure). Mô hình chạy Agent trên máy tính cá nhân đang bộc lộ ba điểm nghẽn lớn: hạn chế về sức mạnh tính toán và bộ nhớ khi xử lý đa nhiệm, không phù hợp cho các tác vụ dài hạn cần máy luôn hoạt động, và khó khăn trong việc quản lý ngữ cảnh (context) cũng như chuỗi công cụ (toolchain) ở quy mô lớn. Xu hướng chuyển dịch đã xuất hiện. Codex hiện đã hỗ trợ chạy bất đồng bộ trên đám mây, nơi tác vụ được thực thi trong các container biệt lập. Các nền tảng hạ tầng "micro-sandbox" đám mây chuyên cho AI Agent như E2B, Modal cũng đang nổi lên, cho phép khởi động hàng trăm môi trường song song. Các nhóm AI hàng đầu như Anthropic đã chứng minh tiềm năng với ví dụ sử dụng 16 Claude chạy song song trên 2000 phiên đám mây để viết một trình biên dịch ngôn ngữ C, đánh dấu cột mốc về sự cộng tác đa Agent. Trọng tâm phát triển đang dịch chuyển từ tối ưu Prompt sang "xây dựng Harness cấp hệ thống". Trong tương lai gần, mô hình "điều khiển nhẹ tại chỗ, thực thi nặng trên đám mây" sẽ trở thành tiêu chuẩn. Giao diện phát triển sẽ trở thành bảng điều khiển, trong khi các tác vụ nặng được xử lý song song trên cụm máy chủ đám mây. Cuộc cạnh tranh có thể chuyển từ "mô hình nào có năng lực suy luận mạnh hơn" sang "mô hình nào được khai thác tiềm năng triệt để hơn". Các framework Agent chỉ chạy trên máy tính cá nhân với các lệnh gọi API đơn giản sắp chạm đến giới hạn của chúng.

marsbit3 giờ trước

Giám đốc OpenAI: Harness như Codex, chỉ còn hot thêm 2 tháng nữa

marsbit3 giờ trước

Cuộc Đối Thoại Với Đối Tác Blockchain Capital: Thị Trường Bull Tiếp Theo Có Thể Đã Ở Ngay Trước Mắt

Nguồn: Bankless, chỉnh lý bởi Felix, PANews Trong một tập podcast gần đây, các đối tác của Blockchain Capital là Aleks Larsen và Spencer Bogart đã thảo luận về sự chuyển dịch tất yếu của thị trường crypto từ lớp cơ sở hạ tầng sang lớp ứng dụng. Họ chỉ ra rằng việc áp dụng rộng rãi stablecoin đã tích lũy thanh khoản khổng lồ cho tài chính on-chain và thúc đẩy tăng trưởng doanh thu cho các giao thức cho vay và giao dịch. Các chuyên gia nhấn mạnh, việc token hóa cổ phiếu và quỹ đầu tư mạo hiểm sẽ nâng cao hiệu quả vốn của hệ thống tài chính theo cấp số nhân. Mặc dù có sự giằng co về mặt tuân thủ giữa tài chính truyền thống và tinh thần crypto, nhưng công nghệ token hóa là không thể cưỡng lại trong việc tái cấu trúc hệ thống tài chính toàn cầu. Bài phỏng vấn cũng đề cập đến: - **Mô hình "mua lại và đốt" (buyback and burn)** vẫn hoạt động hiệu quả, đặc biệt trong bối cảnh quyền pháp lý của chủ sở hữu token còn mơ hồ, giúp tạo ra cam kết đáng tin cậy với nhà đầu tư. - **Ngành công nghiệp crypto đang ở đâu trên đường cong chữ S?** So sánh với internet, crypto hiện ở giai đoạn 2003-2004, sau khi chuyển đổi băng thông rộng (scalability) và trước khi bùng nổ di động (ứng dụng đại chúng). Cơ sở hạ tầng đã sẵn sàng, chờ các ứng dụng như stablecoin và thị trường dự đoán thâm nhập sâu hơn. - **Sự chuyển dịch từ "giao thức béo" sang "ứng dụng béo":** Năm 2025 đánh dấu lần đầu tiên tổng phí ở lớp ứng dụng vượt qua lớp cơ sở hạ tầng, cho thấy giá trị đang dịch chuyển lên trên sau khi chi phí giao dịch giảm mạnh. - **So sánh với AI:** Có điểm tương đồng trong việc đầu tư vào cơ sở hạ tầng ban đầu, nhưng thị trường token công khai của crypto là nhiệt kế cảm xúc minh bạch hơn so với thị trường vốn tư nhân của AI. Ứng dụng AI chuyên sâu trong các lĩnh vực cụ thể sẽ xây dựng được hào rào bảo vệ vững chắc. - **Triển vọng của RWA và token hóa:** Stablecoin (đã đạt ~3000 tỷ USD) dự kiến sẽ tăng lên hàng nghìn tỷ USD vào năm 2030, thúc đẩy hoạt động kinh tế on-chain đáng kể. Token hóa cổ phiếu sẽ trải qua hai làn sóng: **mở rộng tiếp cận** và **khả năng kết hợp (composability)** trong DeFi, với các mô hình khác nhau đang cạnh tranh (như Backed's X-Stocks so với các kênh tuân thủ trực tiếp). Các hệ thống có thể hoạt động song song ("chế độ sidecar"), kết hợp thế mạnh của cả tài chính truyền thống và DeFi thuần túy.

marsbit4 giờ trước

Cuộc Đối Thoại Với Đối Tác Blockchain Capital: Thị Trường Bull Tiếp Theo Có Thể Đã Ở Ngay Trước Mắt

marsbit4 giờ trước

Giao dịch

Giao ngay
活动图片

Danh mục Phổ biếnright-arrow

Thẻ Nổi bậtright-arrow