攻擊者獲取了過時的 BTCPay Server 實例的管理員存取權，並轉移了其熱錢包資金，線索指向早於八月修補程式之前就存在的漏洞。
損失落在從未更新的運營者身上，而團隊尚未披露總損失金額。BTCPay Server 是一款免費的開源支付處理器，商戶可自行託管以接收比特幣。在熱錢包設置中，伺服器自行儲存私鑰，使軟體無需運營者逐筆簽名即可發送資金。因此，任何擁有該伺服器管理權限的人均可轉移其幣資。
攻擊者針對哪些版本？
BTCPay Server 團隊於 11 月 1 日晚間首次提出 警報，並要求所有運營商在調查結束前關閉其實例。
隨後的跟進進一步縮小了範圍。攻擊向量針對 2026 年 7 月 23 日發布的 2.4.1 版本及更早版本。同時，團隊表示，目前的 2.4.7 版本並無可信的資金被盜報告。
創辦人尼古拉斯·多里耶 表示，攻擊者曾以管理員身份登入受影響的伺服器，但團隊尚未查明具體方式。截至目前，調查發現了早於 2.4.2 版本的漏洞痕跡。
這次入侵是三個月內攻擊者至少第二次從運行版本低於 2.4.2 的 BTCPay Server 實例中竊取資金。該版本於八月修復了一個嚴重漏洞，該漏洞允許遠端攻擊者獲取 Lightning 節點憑證並盜空相關錢包。
即使如此，該漏洞已經 正在被積極利用。
BTCPay Server 熱錢包值得冒這個風險嗎？
主機供應商也迅速採取了行動。該團隊表示，LunaNode 等公司可能已自動關閉客戶實例，以阻止對舊版本的攻擊。
Dorier 自行運行 2.4.7 版本，並使用熱錢包。然而，創始人仍警告不要在任何伺服器上存放大量資金。
不要在熱錢包中存放超過您能承受損失的資金。我們無法保證此類情況不會再次發生。
尼古拉斯·多里爾，X
此事件符合自託管比特幣基礎設施的更廣泛模式。Core Lightning 近期警告稱，攻擊者針對未修補的節點。在這兩種情況下，修補方案在盜竊發生前已存在，因此最薄弱的環節是僅安裝一次 BTCPay Server 且從未更新的運營者。
文章 您的 BTCPay 伺服器安全嗎？熱錢包盜取調查揭示了什麼 首先出現在 BeInCrypto。