熱錢包遭竊源於舊版漏洞　Cobra憂AI加重比特幣自我託管負擔

bitcoin.org 網域的匿名營運者 Cobra 擔心，人工智慧（AI）發展與市場走弱可能增加比特幣（BTC）自我託管的負擔。他認為，惡意行為者的攻擊能力愈強，持有人自行管理私鑰就可能愈危險、愈費心。

Cobra 在 X 貼文中表示，近期跌勢相當嚴峻，讓比特幣持有人感到沮喪。這是他對市場與安全的看法；BTCPay Server 的事故公告則將攻擊途徑指向舊版軟體漏洞，並未提到 AI。

比特幣的自我託管，是指持有人不把資產交由交易所等託管機構保管，而是自行管理私鑰。私鑰用來存取資產並核准交易。

bitcoin.org 說明，自我託管可降低託管機構倒閉帶來的風險，但也代表持有人必須自行妥善保管私鑰。私鑰若遺失或外洩，持有人可能無法存取資產，或讓他人取得資產。

使用託管機構可以減輕自行管理私鑰的負擔，但持有人也必須依賴該機構的安全措施與償付能力。

BTCPay Server 接獲通報，稱存放在伺服器熱錢包中的比特幣與萊特幣（LTC）遭竊。通報於11月1日提出，事故公告則在11月2日發布。

熱錢包會將移轉資產所需的私鑰存放在連網伺服器上。私鑰留在網路伺服器中，伺服器軟體的漏洞就可能影響錢包資產。

調查確認，遭攻擊的伺服器執行的是2.4.1及更早版本。2.4.1版於7月23日發布。

攻擊利用的漏洞已在2.4.2版修補，該版本於8月7日發布。

將私鑰存放在伺服器外部的硬體錢包，並非此次竊案的受害對象。這起事故中，私鑰是存放在伺服器內的熱錢包，還是伺服器外的裝置，成為影響受害範圍的因素。

也有運用 AI 檢查比特幣安全性的案例。本報先前曾報導，Bitcoin Red Team 檢查了150個程式碼儲存庫，並私下向相關專案通報十多項漏洞。

舊版軟體漏洞導致錢包資產遭竊的案例也曾發生。本報先前報導，COLDCARD 舊版韌體缺陷遭到利用，造成1,600枚比特幣被竊。該案涉及硬體錢包韌體，攻擊對象與 BTCPay Server 的伺服器軟體漏洞不同。

事故相關地址的所有交易紀錄不能一概計入損失金額。部分交易發生在通報之前，因此無法確認哪些交易與此次入侵有關。

11月1日發布警告時，執行2.4.2版或更新版本的伺服器尚未觀察到此次攻擊造成的損害。公告建議使用2.4.1及更早版本的營運者，將剩餘資金轉移至新錢包，並架設新伺服器。