BTCPay Serverは、8月に別の重大な脆弱性が悪用され、LNDノードを保護する認証情報が取得されて加盟店のウォレットから資金が流出したことを受け、ボットが公開状態のLightningノードを探査して管理権限を得ようとしていると警告した。LND（Lightning Network Daemon）は、より高速なオフチェーン決済を可能にするビットコインのLightning Networkで広く使われている実装である。BTCPayは標準のDocker構成で外部からのLNDアクセスを無効にしたが、ボットは現在、運用者が手動でアクセスを復旧したサーバーを、LNDのパスワード変更エンドポイントに繰り返しアクセスして狙っている。今回の手法は8月の攻撃とは異なるものの、同様にノードを制御する認証情報を攻撃者に与える可能性がある。脆弱性が生じるのは、ウォレットがロックされたままのLND再起動後の短時間である。この間、パスワード変更手続きではマカロン（管理操作を認証する認証情報）が求められないためだ。旧バージョンのウォレットでは共通のデフォルトパスワードも使われており、接続可能な攻撃者がBTCPayの内部アンロッカーによる解除前にパスワードを置き換え、管理者用マカロンを要求できた。BTCPayは、今回の探査による乗っ取りの成功例を報告しておらず、この活動を8月の攻撃者と結び付けてもいない。同プロジェクトによると、攻撃者は8月7日、バージョン2.4.2未満を悪用してLNDのマカロンファイルを取得し、資金を移動させた。一方、標準的なオンチェーンウォレットは影響を受けなかった。BTCPayと支援者はその後、回収したビットコインの10％、上限3BTCの報奨金を提示した。当時の価値で約19万ドルに相当し、取引所、ブロックチェーン分析会社、法執行機関も対応に加わった。9月7日にリリースされたバージョン2.4.4では、新規LNDウォレットに固有のランダムなパスワードを設定し、旧インストール環境では認証情報を更新するとともに、標準のリバースプロキシを強化した。9月11日にマージされた経路制御の変更により、LNDとCore Lightningのインターフェースをデフォルトで無効にしたまま、リモートアクセスを利用できるようになった。カスタムのリバースプロキシや、その他の方法で個別に公開されている環境が引き続き当面の懸念であり、運用者には2.4.4の導入、公開経路の削除、プロキシルールの監査が求められている。