熱錢包攻擊導致老舊 BTCPay Server 實例淪陷

對未充分更新的 BTCPay Server 配置進行未經授權的存取，導致了熱錢包被盜。有證據顯示，這些漏洞早在 8 月更新之前就已存在。

未套用修補程式的操作者首當其衝，儘管團隊尚未確認具體損失金額。作為一個開源、自架式的比特幣支付處理器，BTCPay Server 依賴於保留私鑰的熱錢包，從而無需每筆交易都手動簽名。因此，伺服器上的任何管理員使用者都可以發起代幣轉移。

哪些 BTCPay Server 版本受到影響？

BTCPay Server 團隊在 11 月 1 日晚間發出警告，建議所有操作者在調查結束前將其實例離線。

團隊後續的訊息進一步鎖定了目標。該漏洞具體影響版本 2.4.1（於 2026 年 7 月 23 日發布）及其所有先前版本。目前，團隊表示，尚無已驗證的資金被盜案例與運行最新 2.4.7 更新的系統相關。

📢 我們的資安事件調查發現了一個攻擊向量，目標是運行 2.4.1（2026 年 7 月 23 日）或更早版本的實例。

我們目前沒有收到任何可信的報告指出運行最新 2.4.7 版本的用戶發生熱錢包被盜事件。我們再次呼籲所有人保持他們的 BTCPay Server…

— BTCPay Server (@BtcpayServer) 2026 年 11 月 2 日

BTCPay Server 創始人 Nicolas Dorier 指出，攻擊者獲得了受損伺服器的管理員存取權限，但入侵方式尚未確定。調查人員至今已發現證據，表明安全漏洞在 2.4.2 版本發布之前就已存在。

這起事件至少是三個月內第二次發生老舊 BTCPay Server 版本（2.4.2 之前）資金被盜的情況。2.4.2 更新在 8 月修復了一個嚴重漏洞，該漏洞允許入侵者遠端取得閃電網路節點憑證並清空連結的錢包。

在修補程式發布時，該漏洞已遭到積極利用。

BTCPay Server 熱錢包的風險有多大？

託管提供商也採取了行動。團隊報告稱，LunaNode 等主機可能已自動關閉了運行老舊版本的客戶實例，以阻止攻擊。

Dorier 本人也運行著使用 2.4.7 版本搭配熱錢包的配置。儘管如此，這位創始人仍建議不要在任何伺服器上存放大量資金。

不要在熱錢包中存放超過你能承擔損失的金額。我們無法保證此事不會再次發生。

Nicolas Dorier，X

此次違規事件與自架式比特幣系統中觀察到的更廣泛趨勢一致。例如，Core Lightning 最近警告稱，未修補的節點正被攻擊者積極搜尋。在這兩種情況下，所需的安全更新在資金被盜之前就已可用，這凸顯了那些設定好伺服器卻未安裝後續修補程式的操作者的脆弱性。