攻击者入侵了过时版本的 BTCPay Server 节点，获取管理员权限并转移其热钱包中的全部资产。初步迹象显示，相关漏洞早于 8 月的补丁发布。
损失主要集中在未及时更新节点的运营者身上，目前 BTCPay Server 团队尚未公布具体损失总额。BTCPay Server 是一款由商家自行托管的比特币开源支付处理器。在热钱包模式下，服务器会直接存储私钥，允许软件无需每笔交易都经由运营者签名即可转账。因此，只要获得服务器管理员权限，攻击者便可随意转移钱包中的资金。
攻击者锁定了哪些版本？
BTCPay Server 团队于 11 月 1 日晚间发出警告，建议所有节点运营者立即关闭服务器，直至调查结束。
后续更新则进一步明确了受影响范围。攻击者主要针对 2026 年 7 月 23 日发布的 2.4.1 版本及更早的历史版本发动攻击。与此同时，团队表示，目前尚无 2.4.7 最新版本用户被盗的可靠报告。
创始人 Nicolas Dorier 透露，攻击者以管理员身份登录了受影响的服务器，具体入侵方式仍在调查中。目前已确认相关漏洞早于 2.4.2 版本。
这已是近三个月来，BTCPay Server 旧版本（低于 2.4.2）被盗事件的第二起。据悉，2.4.2 版本于 8 月修复了一个严重漏洞，此前该漏洞曾允许远程攻击者获取闪电节点凭证并盗取连接钱包资产。
值得注意的是，在漏洞被修复前，该漏洞已被黑客大规模利用。
BTCPay Server 热钱包使用风险是否值得？
多家托管服务商也已迅速响应。团队表示，包括 LunaNode 在内的托管商可能已自动关闭部分客户的旧版本节点，以防止攻击蔓延。
创始人 Dorier 自己也在使用 2.4.7 版本热钱包节点，但他依然提醒用户应避免在任一服务器中保存大量资金。
热钱包中不要存放超过你可以承受损失的金额。我们无法保证类似事件不会再次发生。
Nicolas Dorier，X
这一事件与比特币自托管基础设施中更广泛的安全问题不谋而合。近期，Core Lightning 曾警告称，攻击者正瞄准未打补丁的节点。在上述两起事件中，漏洞修复方案早已发布，但最大风险点在于部分运营者仅在部署 BTCPay Server 实例时进行了一次性安装，之后便从未进行过更新。
