币圈界报道：

BTCPay Server 突发安全危机：旧版系统成黑客突破口

近日，开源比特币支付平台 BTCPay Server 针对多起未经授权的资金提取事件发布紧急安全通告，要求所有运行旧版本的服务器立即关闭。该行动旨在防止潜在攻击范围扩大，同时为安全团队争取时间调查入侵路径与影响深度。

漏洞锁定：2.4.1 及以下版本面临高危风险

初步警报覆盖所有部署实例，但后续分析将攻击目标精准定位至 2.4.1 及更早版本。目前未有可信报告指出 2.4.7 版本出现类似事件。被盗金额、涉事商户数量及具体入侵手段仍处于保密状态，等待进一步披露。

根源溯源：过时软件暴露关键凭证

由于其热钱包功能将签名密钥存储于本地服务器，一旦管理员权限被窃取，资产即面临直接威胁。项目组建议运营商立即执行 ./btcpay-down.sh 命令终止服务。创始人 Nicolas Dorier 表示，攻击者已成功以管理员身份接入部分实例，而这些系统普遍运行在 2026 年 8 月前发布的版本上，彼时 2.4.2 版本尚未推出以修复多项安全隐患。

调查确认了针对 2.4.1 及更低版本的特定攻击路径，并验证了 2.4.7 版本的独立安全性。该版本于 10 月 29 日发布，修复了通过 Anthropic 安全扫描发现的 85 个问题，包括 1 项严重漏洞、13 项高危问题、52 项中等风险和 19 项低风险缺陷，涵盖认证机制、支付流程与接口访问等多个核心模块。

生态链安全再受冲击：连环漏洞暴露系统脆弱性

此次事件紧接 8 月闪电网络集成漏洞之后，当时攻击者利用未修补的 LND 凭证控制节点并转移资金。尽管该问题已在 2.4.2 版本中修复，且主要影响闪电网络通道而非链上热钱包，但再次凸显自托管基础设施的持续风险。

其他比特币生态项目也相继遭遇挑战：Core Lightning 曾强制要求节点下线待更新；Electrum 则紧急修补一个已被实际利用的钱包漏洞，攻击者曾篡改交易路由实现资金重定向。

当前，项目方正请求受影响用户提交日志与事件记录以便深入分析。建议保持软件实时更新，减少热钱包余额，并将长期持有资金迁移至离线冷存储。部分云服务商已主动暂停运行过时版本的客户实例，以阻断潜在损失扩散。

完整技术细节与恢复方案仍在调查中。虽然最新版本未被证实受损，但事件再次揭示：当私钥保留在联网设备上时，任何软件滞后都将构成致命隐患。