BTCPay Server 已發布 2.4.7 版本，這是一次以安全為重點的更新，解決了 85 項安全發現，並為接受 Bitcoin 付款的企業強化了保護。此更新於 10 月 29 日發布，針對影響付款處理、身分驗證及商家帳戶安全的弱點。

此次發布正值自託管加密貨幣付款基礎設施的安全疑慮升高之際。11 月 2 日，BTCPay Server 團隊另外證實，執行過時版本的商家遭竊取 Bitcoin 與 Litecoin，促使營運者更迫切需要檢視其系統。

透過 Anthropic OSS Scanner 計畫解決 85 項發現

根據專案官方發布說明，2.4.7 版本解決了透過 Anthropic OSS Scanner 計畫識別的 85 項發現，其中包括 1 項嚴重漏洞、13 項高嚴重度問題、52 項中嚴重度發現及 19 項低嚴重度問題。

這些修補涵蓋付款平台的多個核心元件。開發人員強化了付款限制、發票存取控制、雙因素驗證及 API 權限，以降低未經授權活動的風險。此次更新也修復了結帳表單及商家帳戶隔離方面的弱點——這些變更對於在共享基礎設施上託管多家企業的服務提供商而言尤其重要。

BTCPay Server 敦促管理員盡快套用此更新，尤其是當多家商家共用同一安裝時。

過時安裝版本遭竊的披露

在 BTCPay Server 披露與舊版軟體相關的加密貨幣竊案後，此次安全發布的重要性更為提升。在專案官方部落格的事件披露中，開發人員於 11 月 2 日證實，攻擊者鎖定執行 2.4.1 或更早版本的安裝。這些攻擊利用的漏洞已在 8 月發布的 2.4.2 版本中修補。這表示被利用的漏洞不屬於 2.4.7 版本所解決的 85 項掃描發現的範圍，兩項安全工作互為獨立。

團隊表示，在 11 月 1 日發出警告時，未觀察到這些攻擊對已執行 2.4.2 或更新版本的伺服器造成影響。

不過，專案團隊警告，更新已遭入侵的安裝未必能消除既有的未經授權存取。受影響系統的營運者應遷移至全新伺服器、更換可能外洩的憑證，並建立新錢包。專案的事件公告仍是營運者判斷其安裝是否屬於團隊披露受影響範圍的參考依據。

安全責任落在自託管營運者身上

BTCPay Server 讓企業無需依賴傳統付款處理商即可接受加密貨幣付款。然而，這種獨立性也使軟體維護與基礎設施安全直接掌握在商家手中。對於處理客戶交易的企業而言，延遲更新可能導致敏感資訊外洩並加劇財務風險。

建議管理員維護可靠的備份、監控可疑活動，並限制存放在連網錢包中的資金。

這些進展凸顯了加密貨幣付款基礎設施面臨的更廣泛挑戰：隨著數位資產採用範圍擴大，持續的安全維護對於保護商家資金及維護客戶信心仍然至關重要。

主要來源：BTCPay Server 安全事件公告（2.4.1 及更早版本）