BTCPay Serverの支援者は、最近のエクスプロイトで盗まれたBitcoinの返還につながる情報と引き換えに、回収資金の10%を上限3 BTC（約190,000ドル）とする報奨金を提供している。この申し出は攻撃者を含むすべての人物に適用される。

BTCPay Serverは、マーチャントやBitcoin推進者が中央集権型決済プラットフォームの代替として利用する、無料のオープンソース・自己ホスト型Bitcoin決済プロセッサーである。カストディアルサービスとは異なり、ユーザー自身がノードを運用し、自分自身の鍵を管理できる設計思想は、セキュリティ上の脆弱性が運用者にとり特に重大な影響をもたらすことを意味する。

月曜日のXへの投稿で、BTCPayは報奨金イニシアチブを発表した。「私たちは自身の過失を検証しますが、後悔だけでは影響を受けたユーザーの助けにもプロジェクトの安全確保にもなりません」と同団体は記した。「無駄にしている時間はありません。学び、改善し、迅速に行動しなければなりません。」（X投稿）

BTCPayは金曜日に攻撃に関する警告を最初に発し、バージョン2.4.2への即時更新またはサーバーのオフライン化を呼びかけた。この時点では、プロジェクトは窃盗の事実を確認しておらず、エクスプロイトの仕組みも公表していなかった。

BTCPayによると、この脆弱性により攻撃者はLightning Networkノードに対する広範な制御権を付与する認証情報であるLND管理者マカロンを取得し、それを使用して接続されたウォレットにアクセスすることができた。Lightning Networkは、Bitcoinブロックチェーン上に構築されたレイヤー2決済プロトコルであり、ユーザー間のチャネルを通じて決済をルーティングすることでより高速かつ低コストな取引を可能にするよう設計されている。LND（Lightning Network Daemon）は最も広く使用されているLightningノード実装の一つであり、この脆弱性が露呈する攻撃対象範囲はLightningインフラ運用者の広範なセグメントに関連することを意味する。

同プロジェクトは盗まれたBitcoinの総額、影響を受けたユーザー数、または現時点で資金が回収されたかどうかを公表していない。

複数の情報提供が資金回収に貢献した場合、報奨金は被害者と調整の上で分配される。BTCPayは、報奨金の割り当てにあたり各被害者の損失、回収された総額、および各情報提供の相対的有用性を考慮すると述べた。

これとは別に、BTCPay Server Foundationは脆弱性を責任を持って開示したセキュリティ研究者のCraig RawおよびBitcoin Red Teamファンドに対し、それぞれ0.21 BTCを寄付する予定である。Craig Rawは人気のあるオープンソースBitcoinデスクトップウォレットであるSparrow Walletの開発者である。

「これらは控えめな寄付ですが、FOSSプロジェクトとして提供できる範囲であり、エコシステム全体に貢献する重要なセキュリティ業務に取り組む人々に感謝を表す方法です」とBTCPayは記した。

今後の方針として、同団体はコードレビュープロセスを強化し、新機能の開発よりもセキュリティパッチを優先すると述べ、AIツールによって攻撃者がBitcoinソフトウェアの脆弱性を更容易に特定できるようになるリスクの高まりを指摘した。この事件は、ボランティア主導のプロジェクトが商業的な競合先と比較して限られたリソースで重要な決済インフラを維持しているオープンソースBitcoinエコシステムにおけるより広範な矛盾を浮き彫りにしている。

「このような環境でソフトウェアを防御するには、より優れたツール、より徹底したレビュー、より迅速なセキュリティ対応、そして脆弱性を発見し責任を持って報告する研究者への支援が必要です」とBTCPayは記した。