BTCPay Server 热钱包漏洞警报：旧版本服务器遭攻击

BTCPay Server 创始人 Nicolas Dorier 周日披露，一起热钱包资金被盗事件与运行过时版本平台的服务器密切相关。此次攻击集中于未及时升级至 2.4.2 及以上版本的实例，在商户和开发者社区引发广泛关注。

攻击目标明确：旧版软件成风险源头

BTCPay Server 是一个开源的比特币支付处理系统，广泛被商户用于接收加密货币交易。美国东部时间周日下午 5:25，该团队发布安全警告，建议所有用户立即通过执行脚本 ./btcpay-down.sh 暂停受影响的服务器实例，直至进一步通知。

约两小时后，Dorier 明确表示，只有运行 2.4.2 之前版本的服务器受到实际影响。他强调，项目自身运行的 2.4.7 版本基础设施未遭入侵，且目前无可信报告显示更新至该版本的用户资金受损。

调查发现，攻击利用的是 2.4.2 版本发布前存在的安全缺陷。具体而言，漏洞存在于 2023 年 7 月 23 日发布的 2.4.1 版本或更早版本中。自 2.4.2 版本发布以来完成至少一次系统更新的运营商被认为处于安全状态。

Dorier 建议用户避免将大量资金存入热钱包，并承诺将在近期发布详细的安全防护指南。多家托管服务商已主动采取措施，自动关闭存在风险的实例，以防止进一步损失。团队对 LunaNode 等服务提供商的快速响应表示感谢。

BTCPay 团队正收集受害者的服务器日志信息，以支持持续的漏洞溯源工作。

“热钱包”模式下的安全隐患凸显

作为自托管支付解决方案，BTCPay Server 的安全性完全依赖于运营方的维护水平。在热钱包模式下，交易签名密钥直接存储于服务器，一旦被非法访问，资产将面临极高风险。

相关漏洞可追溯至今年 8 月。当时，2.4.2 版本的发布旨在修复一个已被利用的关键问题——攻击者可通过特定手段窃取 Lightning Network Daemon (LND) 的 macaroon 凭据，从而获得对闪电网络节点的未授权控制。

Sparrow Wallet、Foundation 及 Citadel21 的开发者 Craig Raw 表示，其闪电网络节点在同一时期也遭遇类似攻击。虽然 2.4.2 版本会自动重置 LND 的凭据，但使用旧版本且暴露了闪电网络端点的用户仍需手动操作才能恢复安全。

此外，另一独立漏洞允许绕过 Greenfield API 的 TOTP 双因素认证，也在 2.4.2 更新中得到修复。团队澄清，此问题与 macaroon 漏洞无关。

尽管此前公告曾保证链上钱包未受波及，但本次事件表明，若服务器未及时更新，“热钱包”依然存在显著风险。目前尚无法确认此次攻击是否沿用八月漏洞，或利用了更早期的未公开缺陷。

为追回损失资金，社区已设立最高 3 BTC 的赏金计划，返还金额的 10% 将作为奖励。

数据显示，2025 年比特币商户平均交易量同比增长 74%，闪电网络月交易额突破 10 亿美元，反映出支付生态快速发展的同时，安全防护压力日益加剧。

术语表

BTCPay Server：一个开源的比特币支付处理工具，支持商户通过自建服务器接受加密货币。其核心优势在于用户对资产的完全控制，但也要求运营方保持高度警惕，定期进行安全更新。

BTCPay Server 版本对比