BTCPay Server 已发布 2.4.7 版本，这是一次以安全为重点的更新，修复了 85 项安全问题，并加强了对比特币支付受理业务的安全保护。该更新于 10 月 29 日发布，针对影响支付处理、身份验证和商户账户安全的漏洞。

此次发布正值自托管加密货币支付基础设施面临高度安全担忧之际。11 月 2 日，BTCPay Server 团队另外确认，运行过时安装的商户被盗取了比特币和莱特币，促使运营者加快审查自身系统。

通过 Anthropic OSS Scanner 计划修复 85 项问题

根据项目官方发布说明，2.4.7 版本修复了通过 Anthropic OSS Scanner 计划发现的 85 项问题，其中包括 1 项严重漏洞、13 项高危问题、52 项中危问题和 19 项低危问题。

这些修复涵盖支付平台的多个核心组件。开发者加强了 payout 限制、发票访问控制、双因素认证和 API 权限，以降低未授权活动的风险。此次更新还修复了结账表单和商户账户隔离方面的弱点——这些变更对于在共享基础设施上托管多个业务的服务提供商而言尤为重要。

BTCPay Server 敦促管理员尽快安装该更新，尤其是当多个商户共享同一安装实例时。

涉及过时安装的盗窃事件披露

在 BTCPay Server 披露与旧版本软件相关的加密货币盗窃事件后，此次安全发布的分量进一步加重。根据项目官方博客的事件披露，开发者于 11 月 2 日确认，攻击者针对运行 2.4.1 或更早版本的安装实例发动了攻击。这些攻击利用了 8 月发布的 2.4.2 版本中已修补的一个漏洞。这意味着被利用的缺陷不属于 2.4.7 版本所修复的 85 项扫描发现的范围，两项安全工作是相互独立的。

团队表示，在 11 月 1 日发布警告时，尚未观察到这些攻击对已运行 2.4.2 或更高版本的服务器造成影响。

不过，项目方提醒，更新已被入侵的安装实例未必能消除既有的未授权访问。受影响系统的运营者应迁移至全新服务器、更换可能已泄露的凭据，并建立新钱包。项目的事件公告仍是运营者判断其安装实例是否属于团队所披露受影响范围的参考依据。

安全责任落在自托管运营者身上

BTCPay Server 使企业无需依赖传统支付处理商即可受理加密货币支付。然而，这种独立性也使软件维护和基础设施安全完全掌握在商户手中。对于处理客户交易的企业而言，延迟更新可能泄露敏感信息并加剧财务风险。

建议管理员维护可靠的备份、监控可疑活动，并限制存放于联网钱包中的资金。

这些进展凸显了加密货币支付基础设施面临的更广泛挑战：随着数字资产应用的扩展，持续的安全维护对于保护商户资金和维护客户信心仍然至关重要。

主要来源：BTCPay Server 安全事件公告（2.4.1 及更早版本）