在出现攻击者从其支付基础设施托管的热钱包中盗取比特币的报告后，BTCPay Server 发布了紧急安全警告，敦促运营者关闭服务器，同时调查人员努力确定入侵的影响范围。

该警告于 11 月 1 日发布，最初适用于所有安装实例。此后的调查结果已将疑似攻击媒介缩小至 BTCPay Server 2.4.1 及更早版本，项目方表示尚未收到与最新 2.4.7 版本相关的可信热钱包失窃报告。被盗总金额、受影响商户数量以及入侵服务器的具体方式仍未披露。

钱包被盗刷归因于过时软件

在出现联网钱包遭未授权提款的报告后，BTCPay Server 要求运营者立即使用 ./btcpay-down.sh 命令将实例下线。

这款开源支付处理工具允许商户在接受比特币和闪电网络付款时无需依赖中心化托管方。但其可选的热钱包功能会将签名凭证存储在服务器本身上，一旦攻击者获得管理员权限，资金便可能面临风险。热钱包将这些密钥保存在线上以便自动处理付款，而冷存储则将其保存在离线状态——这种权衡使自我托管的商户在自身密钥与攻击者之间没有任何中介保护。

创始人 Nicolas Dorier 表示，初步调查显示攻击者曾以管理员身份成功登录受影响的服务器，但其获取该权限的方式仍在调查中。受影响的安装实例似乎运行的是 2026 年 8 月之前发布的版本，BTCPay Server 在当时推出 2.4.2 版本以修复多项安全缺陷。

团队随后确认了影响 2.4.1 及更早版本的攻击媒介，同时指出其自身运行最新版本的公开服务器未遭入侵。然而，由于该软件为自托管，补丁更新取决于各个运营者是否响应项目的安全公告——没有任何中央提供商可以代替商户更新服务器。

这些发现发布于 BTCPay Server 于 10 月 29 日推出 2.4.7 版本数天之后，该版本修复了通过 Anthropic 开源安全扫描计划发现的 85 项安全问题。这些修复涵盖 1 个严重、13 个高危、52 个中危和 19 个低危问题，涉及身份验证、支付处理、API 访问及其他组件。该版本可在 GitHub 上获取，项目方也通过 X 发布了警告。

尽管最新版本尚未确认有任何热钱包损失，但调查尚未确定是哪个具体漏洞导致了 11 月的攻击。

比特币支付基础设施面临新的安全压力

此次事件之前，BTCPay Server 的闪电网络集成曾在 8 月发生漏洞事件。攻击者此前利用一个漏洞获得了对 LND 管理员凭证的未授权访问，可能使其能够控制相连的闪电节点并转移资金。该缺陷在一次更大范围的比特币安全审查中被发现，并在 2.4.2 版本中修复；早前的事件影响的是与 LND 相连的资金，而非 BTCPay Server 标准的链上热钱包。

安全担忧也蔓延至其他比特币应用。8 月，Core Lightning 敦促节点运营者断开连接，同时开发者准备安全更新。最近，Electrum 修复了一个正被积极利用的钱包漏洞，此前攻击者通过篡改交易数据转移比特币付款。

BTCPay Server 目前正敦促受影响的运营者提供相关日志和事件详情。建议用户保持安装更新，尽量减少热钱包中存放的资金，并在必要时将剩余资产转移至安全的冷存储。一些托管服务商已主动暂停运行存在漏洞软件的客户实例，以防止进一步损失。

调查仍在进行中，目前尚未公布确认的追回金额或完整的技术说明。尽管最新软件似乎不受已确认攻击媒介的影响，但此次事件凸显了过时的自托管支付基础设施的风险，尤其是当私钥仍可在联网服务器上被访问时。接下来的关注点是项目方是否会发布完整的技术复盘，以及随着日志陆续提交，会有多少受影响商户报告损失。