BTCPay Server 是企业用于接受比特币支付的免费开源软件。周日，在有报告称攻击者正在扫荡与运行该平台的服务器相连的热钱包后，该项目呼吁运营者关闭其运行实例。

该项目随后表示，此次攻击针对的是运行 2.4.1 版或更旧版本的实例，且在运行最新版本 2.4.7 的用户中，未收到任何可信的热钱包被盗报告。

该警告于美国东部时间 11 月 1 日下午 5:25 发布在 X 上：

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

警告中引用的命令 ./btcpay-down.sh 用于关闭正在运行的 BTCPay 实例。约两小时后，BTCPay 创始人 Nicolas Dorier 表示，相关报告涉及的似乎是 2.4.2 之前的版本，且攻击者以管理员权限登录了受影响的服务器。

周日晚些时候，该项目在 X 上发布后续帖子称，其调查已确认一种攻击向量，针对的是运行 7 月 23 日发布的 2.4.1 版或更旧版本的实例。"We have no credible reports of hot wallet drains for users running the latest 2.4.7 release,"（对于运行最新 2.4.7 版本的用户，我们没有收到任何可信的热钱包被盗报告）该项目表示，并敦促所有用户保持软件更新，同时请受影响的用户向其安全团队提供详细信息和日志。

该项目表示，包括 LunaNode 在内的一些托管服务商已自动关闭 BTCPay 实例，以防止旧版本被利用。BTCPay 尚未披露受影响服务器的数量或被盗比特币金额。事件的整体规模仍不明朗。该项目的初始警告将关闭建议与调查完成挂钩，因此受影响的运营者正在等待审查结果，之后才会重新上线实例。

热钱包与 BTCPay 的紧急更新

由于 BTCPay 采用自托管模式，每个商户都在自己的服务器上运行该软件，网络中不存在能够统一关闭实例的中心化运营方。这种分布式架构也意味着补丁安装由各运营者自行负责，因为只有当每台服务器的所有者应用更新时，更新才会覆盖到整个网络。商户可以选择运行热钱包，即将钱包种子保存在联网服务器上，使其能够自动签署交易。“扫荡”（sweeping）——即该项目警告中所述的操作——会将钱包的全部余额转至攻击者控制的地址。相比之下，冷钱包将签名密钥保存在离线状态，无法自动签署交易。BTCPay 自己的文档将热钱包功能标记为 "DANGER"（危险），并警告其 "comes with security implications."（存在安全隐患）。

此次攻击发生前几天，BTCPay 于周四发布了 2.4.7 版本，作为修复一个严重漏洞和若干中等严重性漏洞的紧急更新，该项目表示这些漏洞是通过 Anthropic 的前沿开源软件扫描器发现的。该项目尚未说明攻击者是否利用了其中任何漏洞。

这并非该项目今年首次遭遇安全事件。今年 8 月，BTCPay 曾警告称，2.4.2 之前所有版本中的一个严重漏洞正在被积极利用，并要求用户更新或关闭其服务器。该项目支持者随后出资设立了一项追回赏金，承诺向受害者返还被盗资金的 10%，赏金上限为 3 BTC。