币圈界报道：

BTCPay Server 警告商户升级：旧版系统存高危漏洞致资金流失

近期，开源比特币支付平台 BTCPay Server 向所有商户及运营方发出强烈警示，要求立即更新其部署环境。此次行动源于一起针对早期版本实例的定向攻击，攻击者利用未修补的安全缺陷非法获取管理员权限，进而窃取了连接的热钱包资金。该事件距离上一次闪电网络节点被攻破仅过去不足三个月，凸显自托管基础设施在补丁管理上的脆弱性。

漏洞影响范围锁定于2.4.1及更早版本实例

根据11月2日发布的官方声明，调查确认攻击向量集中于运行版本低于2.4.2的安装实例。尽管最新稳定版2.4.7未发现资金泄露迹象，但项目组已建议所有用户尽快迁移至该版本。此前，11月1日曾发布临时停机指令，要求运营商关闭服务器以配合安全调查。目前，受影响实例数量与具体损失金额尚未公开，实际财务冲击仍待评估。

攻击路径推测：管理员权限被恶意获取

项目创始人 Nicolas Dorier 表示，攻击者已在目标系统中成功以管理员身份登录。虽然具体入侵方式尚不明确，但初步证据指向2.4.2之前版本中存在的潜在漏洞。值得注意的是，运行2.4.7版本的公共服务器未受影响。由于 BTCPay Server 支持商户自主配置支付流程，这一特性既增强了控制力，也放大了因配置不当带来的风险。

当商户选择将私钥直接存储于服务器端时，即构成热钱包模式，可实现自动化交易，但同时也使签名凭证暴露于联网环境中。一旦攻击者取得足够权限，便可能绕过用户授权执行转账。相较之下，仅监控（Watch-only）模式下私钥由外部保管，虽无法直接操作资金，但仍需防范管理账户被滥用。

核心风险不在链上协议，而在运维层面

与8月事件的技术共性分析

此次攻击紧随8月发生的另一起严重事件——当时攻击者通过漏洞窃取了闪电网络守护进程（LND）的“macaroons”认证文件，从而获得对节点的完全控制权。该问题已于8月7日通过2.4.2版本修复，且项目方同步加强了远程访问限制。然而，那次攻击并未波及链上热钱包，而本次事件则聚焦于不同类别的资金流动，均以获取管理员权限为前提。

尽管两起事件均涉及2.4.2前版本，但开发团队尚未确认是否存在同一漏洞或攻击链。此外，10月 Core Lightning 亦因类似原因发布升级警告，尽管无资金被盗报告，但仍表明行业整体面临持续性的基础设施安全挑战。

应对策略：更新之外还需主动清查与隔离

初始阶段，项目方建议采用标准关机流程停止受影响服务，以便展开取证。后续公告明确要求所有用户升级至2.4.7版本。此版本修复了由 Anthropic 安全扫描计划识别出的85项问题，包括1个关键漏洞和13个高危缺陷。然而，官方未说明具体哪项补丁阻断了当前攻击，因此不应默认该版本能防御所有已知威胁。

若服务器已被渗透，存储于其上的密钥、助记词等敏感信息应视为已泄露。商户须核查异常管理行为、追踪可疑交易记录，并将剩余热钱包余额转移至新创建的、经加固的安全钱包中。项目方呼吁受波及用户提交事故详情与日志，以协助进一步调查。

长期启示：自托管≠绝对安全，运维责任不可外包

对去中心化支付生态的深层影响

不同于依赖中心化托管的支付网关，BTCPay Server 采用分布式部署架构，允许商户独立管理其服务实例。这种设计赋予极高自主权，但也意味着安全责任完全落在运营方自身。尤其对于持有热钱包余额的企业而言，维持自动支付能力的同时，也承担着更高的资产暴露风险。

当前，主流加密平台正经历新一轮关于热钱包安全性的审视。未来的关键进展将取决于攻击机制披露、受影响商户规模以及实际损失量化。在此期间，运营商必须基于软件版本、访问审计记录与交易轨迹综合判断自身风险水平，而非依赖平台统一强制更新机制。