过时的BTCPay Server实例遭遇热钱包攻击

未充分更新的BTCPay Server设置导致未经授权的访问，使得热钱包资金被盗，且有证据表明这些漏洞在8月更新之前就已存在。

未能应用补丁的操作员承受了主要冲击，但具体损失金额尚未得到团队确认。作为一个开源、自托管的比特币支付处理器，BTCPay Server依赖于保留私钥的热钱包，从而无需为每笔交易手动签名。因此，服务器上的任何管理员用户都可以发起币转账。

哪些BTCPay Server版本受到影响？

BTCPay Server团队在11月1日晚些时候发出警告，建议所有操作员在调查结束前将其实例下线。

团队随后发布的消息明确了目标。该漏洞特别影响2026年7月23日发布的2.4.1版本及其所有更早版本。目前，团队表示，没有经过验证的资金从运行最新2.4.7更新的系统中被盗的实例。

📢我们的事件响应调查发现了一个针对运行2.4.1（2026年7月23日）或更早版本实例的攻击向量。

我们没有收到关于运行最新2.4.7版本的用户热钱包资金被盗的可信报告。我们再次敦促所有人保持其BTCPay Server…

— BTCPay Server (@BtcpayServer) 2026年11月2日

BTCPay Server创始人Nicolas Dorier指出，入侵者获得了被入侵服务器的管理权限，而入侵方法尚未确定。迄今为止，调查人员已经发现证据表明安全漏洞在2.4.2版本发布之前就已存在。

这起事件至少是三个月时间内第二起较旧的BTCPay Server版本（2.4.2之前）资金被盗的案例。2.4.2更新修复了8月份的一个严重漏洞，该漏洞允许入侵者远程获取Lightning节点凭证并清空关联钱包。

在修补之时，该漏洞已被积极利用。

BTCPay Server热钱包的风险有多大？

托管提供商纷纷效仿。团队报告称，LunaNode及类似主机可能已自动关闭运行较旧版本的客户实例，以挫败攻击。

Dorier本人操作的是2.4.7版本并配备热钱包。尽管如此，这位创始人建议不要在任何服务器上持有大量资金。

不要在热钱包中存放多于你愿意损失的金额。我们不能保证这种情况不会再次发生。

Nicolas Dorier，X

此次入侵与在自托管比特币系统中观察到的更广泛趋势一致。例如，Core Lightning最近警告称，未修补的节点正被攻击者积极寻找。在这两种情况下，所需的安全更新在资金被盗之前就已经可用，这凸显了那些设置服务器但未应用后续补丁的操作员的脆弱性。