币圈界报道：

BTCPay Server 发布紧急下线令：热钱包遭大规模资金掠夺

近期多起报告揭示，攻击者已从多个商户的在线热钱包中非法转移比特币资产。作为应对，开源支付系统 BTCPay Server 宣布要求所有运行实例的用户立即断开网络连接，并执行手动关机操作，以防止进一步损失。

高危配置引发资金外泄风险

该平台允许企业在无第三方介入的情况下直接接收比特币交易。然而，由于其热钱包功能将私钥种子存储于联网服务器上，一旦系统被入侵，攻击者可直接调用资金。目前已有大量用户反映其钱包余额骤降，且无法追溯。

项目团队明确指出，所有用户无论使用何种版本，均应立即通过命令行工具 ./btcpay-down.sh 手动终止服务。不同于托管型平台，每个实例由商户独立运维，因此安全责任完全落在使用者自身。

漏洞溯源与当前调查进展

创始人 Nicolas Dorier 表示，受影响范围主要集中在 BTCPay Server 2.4.2 之前的版本。尽管其官方运营的 2.4.7 版本未受波及，但新版本是否完全免疫仍待验证。

调查显示，攻击者已获得目标服务器的管理权限，从而实现对钱包的完全控制。目前正深入分析其初始入侵路径，尚未发布任何补丁或临时缓解措施。被盗金额及涉事服务器数量仍未公开。

官方声明强调：“有报告称部分部署在公网的 BTCPay 实例正在遭受未经授权的资金提取。请立即关闭您的实例，直至我们完成全面审查。”

历史漏洞重演与行业警示

此次事件与去年 8 月曝光的一次严重缺陷相似，当时 2.4.2 以前版本存在漏洞，允许攻击者窃取 LND 节点凭证并操控资产。该问题已在后续版本中修复。

紧随 Binance 超 60 亿美元资产被盗事件之后，本次攻击再次凸显热钱包在去中心化架构中的脆弱性。对于依赖实时监控的企业而言，及时获取异常警报成为防范关键。

BTCPay 文档特别标注，自动签名功能虽提升效率，但极大增加风险——任何具备服务器访问权的个体均可无需授权发起转账。

项目方承诺将在厘清事件影响范围与根本原因后，第一时间通报更新。现阶段强烈建议商户保持服务器离线状态，直至官方发布明确的安全指引。