BTCPay Server呼吁在热钱包盗窃后关闭服务器

BTCPay Server支付服务的开发人员警告称，旧版本安装的热钱包存在被盗风险。在2026年11月2日的通知中，团队要求运营商暂时关闭使用脚本./btcpay-down.sh的服务器，直到调查完成；最初，警告适用于所有用户。

后来，范围缩小：漏洞影响到2.4.1及更早版本，包括2026年7月23日发布的2.4.1版本。根据项目方的说法，没有关于最新版本2.4.7相关盗窃的可靠报告，运营商被敦促进行更新。

BTCPay Server的联合创始人Nicolas Dorier澄清说，项目的2.4.7公共服务器没有受到攻击，而受影响的安装据报告运行在2.4.2之前的版本。攻击者以管理员权限访问了系统，但他们如何获得这些权限仍在调查中。项目尚未披露被盗金额、受影响服务器数量或报告的损失数量，理由是调查正在进行中；受影响方被要求将数据和系统日志发送到security@btcpayserver.org。

背景

在八月份，BTCPay Server已经警告过一个被积极利用的漏洞：当时，攻击者获得了LND管理员macaroon凭证和对Lightning钱包的访问权限，但根据项目方的说法，常规链上钱包，包括热钱包，未受影响。为了发现该漏洞，项目承诺奖励返还资金的10%，上限为3 BTC，并分别奖励Sparrow Wallet开发者Craig Raw和Bitcoin Red Team基金0.21 BTC。

在新的警告发布后，托管服务提供商开始自动禁用旧版本安装；BTCPay Server感谢LunaNode等的快速响应。项目建议在热钱包中保持最低资金，并将多余资金转移到冷存储。九月份，Core Lightning发布了类似警告：攻击者针对未修补的旧节点。目前尚无调查完成的截止日期或资金恢复的报告。