币圈界报道：

BTCPay Server 突遭热钱包劫持，官方敦促立即停用实例

开源比特币支付系统 BTCPay Server 周日发布紧急通知，要求所有运行其服务的运营商立即关闭服务器。该举措源于对热钱包资金被盗风险的严重警告，攻击者正利用未修补的漏洞远程访问并窃取资产。

漏洞波及旧版本实例，最新版仍处安全区间

在协调世界时下午 5:25 发布推文后约两小时，项目创始人尼古拉斯·多里耶确认，攻击行为主要针对 2024 年 7 月 23 日发布的 2.4.1 及更早版本。攻击者通过获取管理员权限，成功进入受感染服务器。

后续调查显示，此次攻击的根源锁定于 2.4.2 之前的所有发行版。项目团队强调，目前尚未收到任何关于运行 2.4.7 版本用户的资金损失报告。为协助排查，官方呼吁受影响用户提交详细日志与操作记录。

托管服务商主动干预，防止漏洞扩散

包括 LunaNode 在内的多家云托管平台已实施自动封禁措施，强制关闭所有旧版本的 BTCPay 实例，以阻断潜在攻击路径。尽管如此，项目方仍未披露具体受影响服务器数量及实际损失金额。

自托管模式加剧安全挑战，热钱包风险凸显

由于 BTCPay 采用去中心化部署架构，无统一运营方可远程控制全部节点。每位商户独立维护自己的服务器，若启用热钱包功能——即把私钥存储于联网设备上以实现交易自动化——则面临显著安全隐患。项目文档明确标注该模式为“高危”，并警示其易受网络入侵。

接连遭遇安全危机，修复机制加速响应

本次事件发生在 BTCPay 于本周四发布 2.4.7 版本仅数日后。该更新被定位为紧急补丁，修复了一个高危漏洞及多个中等风险缺陷，相关问题由 Anthropic 的开源扫描工具发现。然而，项目方尚未确认此次攻击是否复用上述漏洞。

这并非今年首次安全预警。8 月，该项目曾通报一个正在被积极利用的关键漏洞，影响 2.4.2 以下版本，并推出 10% 返还悬赏计划，上限达 3 BTC，激励社区协助追回被盗资金。