据BTCPay Server创始人Nicolas Dorier称，周日报告的热钱包资金清空事件似乎针对运行低于2.4.2版本的BTCPay Server实例。在这些事件中，攻击者以管理员身份登录，团队表示仍在努力确定该访问权限是如何获得的。

调查指向2.4.1或更早版本

BTCPay于周日下午5:25（美国东部时间）发布警报，发布在X上，敦促所有运行实例的运营商使用 ./btcpay-down.sh 关闭实例，直至调查结束。Dorier约两小时后跟进发文，指出BTCPay自身运行2.4.7版的公共服务器未遭攻击。他后来表示，团队掌握的痕迹表明"2.4.2之前的漏洞被利用了"。

BTCPay于晚上11:07（美国东部时间）发布的更新（见此和见此）缩小了目标范围：调查人员确定了针对运行7月23日发布的2.4.1版或更早版本的实例的攻击向量。

该项目表示，运行10月29日发布的2.4.7版的用户中"没有可信的热钱包被盗报告"。项目建议运营商保持软件更新，并要求受害者向其安全团队提交详细信息和日志。

部分托管服务商可能已自动关闭实例，以防止旧版本被利用。BTCPay感谢LunaNode及其他服务商的迅速行动。Dorier表示，自2.4.2发布以来至少更新过一次的运营商"无需恐慌"，同时警告用户不要在热钱包中存放过多资金，并承诺将发布一篇博客详细说明。

周日的盗币触及了8月公告中认定安全的资金

由于BTCPay是自托管软件，项目方无法修改或关闭商家的服务器。据BTCPay文档说明，其热钱包模式使用存储在该服务器上的种子对付款签名，这意味着控制该服务器的人可以转移币。实际上，像2.4.2这样的安全版本只有在运营商安装之后才能保护相应的服务器。

2.4.2版本可追溯至8月。正如Cryptopolitan当时报道，BTCPay于8月7日发布2.4.2，以修补一个已遭活跃攻击的严重漏洞。此前所有版本（包括2.4.2候选版本）都允许未经身份验证的攻击者窃取LND macaroon凭证，从而劫持Lightning节点并转移其资金。该项目在其安全公告中详细说明了该补丁。Foundation和Citadel21报告其Lightning节点遭到攻击，Sparrow Wallet开发者Craig Raw也表示自己受到了影响。

随2.4.2发布，LND macaroon自动重新生成。通过自有代理、Tor服务或端口转发暴露LND的运营商仍需手动更换这些凭证。2.4.2还修补了8月4日报告的另一个通过Greenfield API基本认证绕过TOTP双因素验证的漏洞。BTCPay表示该漏洞与macaroon攻击无关，其自身的链上钱包（包括热钱包）未受该漏洞影响。

BTCPay和Dorier均未说明周日的攻击者利用的是8月的macaroon漏洞还是其他2.4.2之前的漏洞。8月的macaroon漏洞无需任何身份验证即可利用；相比之下，周日的入侵涉及管理员登录。8月，支持者提供了返还资金的10%作为追回赏金，最高3 BTC，正如Cryptopolitan报道。另外，River报告称2025年商家平均比特币使用量增长74%，Lightning交易量每月超过10亿美元——这正是像BTCPay这样的自托管软件所要处理的商家支付活动。