根據 BTCPay Server 創辦人 Nicolas Dorier 的說法，週日通報的熱錢包資金清空事件，目標似乎是在執行 2.4.2 之前版本的 BTCPay Server 實例。在這些案例中，攻擊者以管理員身分登入，團隊表示仍在調查該存取權是如何取得的。

調查指向 2.4.1 或更早版本

BTCPay 於週日美東時間下午 5 時 25 分在 X 上發布警報，呼籲任何執行實例的營運者在調查結束前以 ./btcpay-down.sh 關閉實例。Dorier 約兩小時後發文跟進，指出 BTCPay 自身執行 2.4.7 版的公開伺服器並未遭受攻擊。他隨後表示，團隊掌握的跡象顯示「2.4.2 之前的漏洞被利用」。

BTCPay 於美東時間晚上 11 時 07 分發布的更新（這裡與這裡）縮小了目標範圍：調查人員確認攻擊向量針對的是執行 7 月 23 日發布的 2.4.1 版或更早版本的實例。

該專案表示，來自 10 月 29 日發布的 2.4.7 版用戶方面，「沒有熱錢包資金被清空的可靠通報」。專案建議營運者保持軟體更新，並請受害者將詳細資訊與日誌提供給其安全團隊。

部分託管服務商可能已自動關閉實例，以防止舊版本被利用。BTCPay 對 LunaNode 及其他廠商的迅速行動表示感謝。Dorier 表示，自 2.4.2 發布後至少更新過一次的營運者「無須恐慌」，同時提醒使用者不要在熱錢包中存放過多資金，並承諾將發布一篇更詳細的部落格文章。

週日被清空的資金包含八月公告判定安全的範圍

由於 BTCPay 是自架式軟體，專案無法修改或關閉商戶的伺服器。其熱錢包模式使用儲存在該伺服器上的 seed 來簽署付款，這意味著控制該伺服器的人即可轉移資金，依據 BTCPay 的文件。實務上，像 2.4.2 這類安全版本只有在營運者安裝後，才能保護該伺服器。

2.4.2 版可追溯至八月。BTCPay 於 8 月 7 日發布 2.4.2，修補一個當時已遭積極攻擊的重大漏洞，Cryptopolitan 當時曾報導。所有更早的版本，包括 2.4.2 候選版本，都允許未經驗證的攻擊者竊取 LND macaroon 憑證，進而接管 Lightning 節點並轉移其資金。該專案在其安全公告中詳述了此修補。Foundation 與 Citadel21 回報其 Lightning 節點遭到攻擊，Sparrow Wallet 開發者 Craig Raw 也表示自己受到波及。

隨 2.4.2 版發布，LND 的 macaroon 已自動重新產生。透過自身代理、Tor 服務或轉發埠暴露 LND 的營運者，仍須手動更換這些憑證。2.4.2 版也修補了另一個透過 Greenfield API 的 Basic Authentication 繞過 TOTP 兩因素驗證的漏洞，於 8 月 4 日通報。BTCPay 表示該錯誤與 macaroon 攻擊無關，且其自身的鏈上錢包（包括熱錢包）未受該缺陷影響。

BTCPay 與 Dorier 均未說明週日的攻擊者是否利用了八月的 macaroon 錯誤或其他 2.4.2 之前的漏洞。八月的 macaroon 錯誤可在無任何驗證的情況下被利用；相較之下，週日的入侵事件涉及管理員登入。八月時，支持者提供了返還資金 10%、最高 3 BTC 的復原賞金，Cryptopolitan 曾報導。另外，River 報告 2025 年商戶的平均比特幣使用量成長 74%，Lightning 交易量每月突破 10 億美元——這正是 BTCPay 這類自架式軟體旨在處理的商戶支付活動。