BTCPay Server是一套免費開源軟體，供商家接受比特幣付款。在接獲攻擊者針對運行該平台的伺服器所連接的熱錢包進行掃蕩的通報後，該專案於週日呼籲營運者關閉其節點。

該專案隨後表示，這波攻擊針對運行2.4.1版或更舊版本的節點，且並未接獲任何運行最新2.4.7版的用戶熱錢包遭清空的可信通報。

這項警告於11月1日美東時間下午5時25分發布於X：

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) November 1, 2026

警告中引用的指令./btcpay-down.sh可關閉運行中的BTCPay節點。約兩小時後，BTCPay創辦人Nicolas Dorier表示，相關通報似乎涉及2.4.2版之前的版本，且攻擊者是以管理員權限登入受影響的伺服器。

週日晚間，該專案在X上的後續貼文中表示，調查已確認一個針對運行7月23日發布的2.4.1版或更舊版本節點的攻擊向量。該專案表示：「我們並未接獲運行最新2.4.7版的用戶熱錢包遭清空的可信通報」，並呼籲所有用戶保持軟體更新，同時請受影響的用戶將詳細資訊與日誌提交給其安全團隊。

該專案表示，包括LunaNode在內的一些主機服務商已自動關閉BTCPay節點，以防止舊版本遭到利用。BTCPay尚未揭露受影響的伺服器數量或被竊取的比特幣金額。事件整體規模仍不明朗。該專案最初的警告將關閉建議與調查完成與否掛鉤，因此受影響的營運者在調查結果出爐前，仍無法讓節點恢復上線。

熱錢包與BTCPay的緊急更新

由於BTCPay採自架式部署，每位商家都在自己的伺服器上運行該軟體，因此沒有任何中央營運者能夠關閉整個網路上的節點。這種分散式架構也意味著修補工作由個別營運者負責，因為只有當每位伺服器擁有者自行套用更新時，更新才會傳達到網路。商家可選擇運行熱錢包，即將錢包種子儲存在連網伺服器上，使其能夠自動簽署交易。掃蕩（sweeping）——即該專案警告中所述的手法——會將錢包的全部餘額轉移到攻擊者控制的地址。相較之下，冷錢包將簽署金鑰保存在離線環境，無法自動簽署交易。BTCPay自己的文件將熱錢包功能標示為「DANGER」（危險），並警告其「伴隨安全風險」。

這波攻擊發生在BTCPay於週四發布2.4.7版緊急更新數日之後，該更新修復了一個嚴重漏洞及多個中等嚴重程度的漏洞，該專案表示這些漏洞是透過Anthropic的前沿開源軟體掃描器而獲知。該專案尚未說明攻擊者是否利用了其中任何漏洞。

這並非該專案今年首次遭遇安全危機。8月時，BTCPay曾警告，2.4.2之前所有版本中的一個嚴重漏洞正遭到積極利用，並要求用戶更新或關閉伺服器。該專案的支持者隨後出資設立懸賞，承諾將追回並返還給受害者的被竊資金的10%作為獎金，上限為3 BTC。