币圈界报道：

BTCPay Server 突发安全警报：旧版实例面临资金外泄威胁

近日，开源比特币支付平台 BTCPay Server 针对多起疑似热钱包被非法提款事件发布紧急通知，呼吁所有运营方立即停用相关服务，以配合安全团队开展全面排查。

受影响范围锁定至2.4.1及早期版本，新版系统暂无异常

初始通报覆盖所有部署实例，但后续分析确认攻击路径集中于2.4.1及更早发布的版本。截至目前，官方未收到任何关于2.4.7版本热钱包遭受损失的可靠报告。被盗金额、波及商户数量以及具体入侵手法仍处于保密阶段。

漏洞溯源：老旧代码暴露管理权限风险

在检测到未经授权的资金调拨后，项目组迅速建议运营商执行 ./btcpay-down.sh 命令终止服务实例。该工具支持商家在去中心化环境下处理比特币与闪电网络支付，其可选热钱包功能将私钥凭证存于本地服务器，一旦管理员账户被攻破，资产即面临直接暴露。

创始人 Nicolas Dorier 表示，初步证据显示攻击者已获取受感染系统的管理员访问权，具体渗透方式仍在调查中。这些受损实例普遍运行于2026年8月前发布的版本，彼时正是2.4.2版本上线以修复多项安全隐患的时间点。

调查进一步明确，攻击向量针对的是2.4.1及之前版本，而官方公开运行的最新2.4.7实例未出现异常。此结论出现在2.4.7版本发布仅数日后，该版本已修复由 Anthropic 安全扫描识别出的85个缺陷。

修复内容包括1项严重级漏洞、13项高危问题、52项中等风险与19项低风险问题，涵盖身份验证机制、支付流程、API接口等多个核心模块。尽管当前版本尚未证实遭利用，但具体导致11月事件的漏洞尚不明确。

比特币支付链再陷信任危机：多重攻击接连爆发

此次危机紧接8月发生的闪电网络集成漏洞事件。当时，攻击者利用权限缺陷窃取LND管理凭证，可能实现对关联节点的控制并转移资金。该问题已在2.4.2版本中修补，此前影响主要限于闪电网络通道资金，而非链上热钱包。

安全压力正蔓延至其他比特币生态组件。8月，Core Lightning曾要求节点运营者断开连接直至补丁发布；近期，Electrum也修复了一处被主动利用的漏洞，攻击者曾篡改交易路由信息以劫持付款。

目前，项目方正请求受影响用户提交日志与操作记录以便深入分析。建议用户持续更新至最新版本，降低热钱包余额，并在必要时迁移至冷存储。部分托管服务商已主动关停存在风险的客户实例，防止事态扩大。

完整技术细节与恢复情况尚未披露。虽然最新版本未卷入已知攻击，但本事件再次揭示自托管基础设施若长期未更新，极易成为攻击入口，尤其当私钥仍保留在联网设备之上时。