BTCPay Server 發布緊急安全警告，有通報指攻擊者從其支付基礎設施上的熱錢包盜取比特幣，該項目呼籲營運者關閉伺服器，等待調查人員釐清入侵範圍。

這項於 11 月 1 日發布的警報，最初適用於所有安裝實例。其後的調查結果已將疑似攻擊途徑縮小至 BTCPay Server 2.4.1 及更早版本，項目方表示，其最新的 2.4.7 版本並未收到任何可信的熱錢包盜竊通報。被盜總金額、受影響商家數量以及入侵伺服器的確切手法目前仍未公布。

錢包盜領事件追溯至過時軟體

在網路連線錢包出現未經授權提領的通報後，BTCPay Server 要求營運者立即使用 ./btcpay-down.sh 指令將其實例下線。

這套開源支付處理器讓商家無需依賴中心化託管機構即可接受比特幣及 Lightning Network 支付。不過，其選配的熱錢包功能會將簽署憑證儲存在伺服器上，若攻擊者取得管理員權限，資金可能因此暴露。熱錢包將私鑰保持在線上以便自動處理支付，而冷儲存則將私鑰離線保管——這種取捨使自行託管的商家在私鑰與攻擊者之間沒有任何中介防線。

創辦人 Nicolas Dorier 表示，初步調查顯示攻擊者已成功以管理員身分登入受影響的伺服器，但取得該權限的手法仍在調查中。遭入侵的安裝實例似乎運行 2026 年 8 月之前發布的版本，BTCPay Server 當時推出 2.4.2 版以修復多項安全弱點。

團隊其後確認一個影響 2.4.1 及更舊版本的攻擊途徑，並指出其自身運行最新版本的公開伺服器並未遭入侵。不過，由於該軟體屬自助託管，修補與否取決於個別營運者是否依據項目公告採取行動——並沒有中央供應商可以替商家更新伺服器。

這些發現公布之際，正值 BTCPay Server 於 10 月 29 日發布 2.4.7 版本數天後，該版本修復了透過 Anthropic 開源安全掃描計畫發現的 85 項安全問題，涵蓋一項嚴重、13 項高嚴重度、52 項中嚴重度及 19 項低嚴重度議題，涉及身分驗證、支付處理、API 存取及其他元件。新版本已發布於 GitHub，項目方亦透過 X 發布警告。

儘管最新版本尚未傳出任何已證實的熱錢包損失，調查至今仍未確定是哪一項具體漏洞導致 11 月的攻擊。

比特幣支付基礎設施面臨新一輪安全壓力

此事件發生於 8 月 BTCPay Server 的 Lightning Network 整合遭入侵之後。攻擊者此前利用一項漏洞，在未經授權的情況下存取 LND 管理員憑證，進而可能控制相連的 Lightning 節點並轉移資金。該弱點在更大範圍的比特幣安全審查中被發現，並已於 2.4.2 版修補；較早的事件影響的是 LND 相連資金，而非 BTCPay Server 標準的鏈上熱錢包。

安全疑慮亦延伸至其他比特幣應用程式。8 月，Core Lightning 在開發者準備安全更新期間，呼籲節點營運者斷線。更近期，Electrum 修補了一個正被積極利用的錢包漏洞，此前攻擊者透過竄改交易數據來轉移比特幣支付。

BTCPay Server 現正呼籲受影響的營運者提供相關日誌及事件詳情。用戶亦被建議保持安裝版本更新、盡量減少存放於熱錢包的資金，並在必要時將剩餘資產轉移至安全的冷儲存。部分託管供應商已主動暫停運行易受攻擊軟體的客戶實例，以防止進一步損失。

調查仍在進行中，至今尚未公布任何經證實的追回金額或完整技術解釋。雖然最新軟體似乎不受已確認攻擊途徑影響，但此事件凸顯了過時自助託管支付基礎設施的風險，尤其是當私鑰仍可於連網伺服器上被存取時。目前關注焦點在於項目方是否會發布完整技術事後檢討報告，以及隨著日誌陸續提交，會有多少受影響商家申報損失。