BTCPay Server 安全漏洞曝光：旧版本实例面临热钱包被扫风险
BTCPay Server 开源支付平台近日披露，存在针对运行于2026年7月23日或更早发布版本（v2.4.1及以下）的实例的安全威胁。该发现源于近期多起热钱包资产被非法扫描与提取的报告。
目前尚未有可靠证据显示最新版本v2.4.7的用户遭遇资金损失，团队正持续追踪相关线索并建议所有使用者尽快完成系统更新。
攻击影响范围确认
为应对潜在风险，项目方已紧急呼吁用户在调查期间关闭服务器实例，并将详细日志与异常行为记录发送至官方安全邮箱 security@btcpayserver.org。
创始人 Nicolas Dorier 表示：“我们的公共部署节点（v2.4.7）目前未受波及，初步判断攻击集中于v2.4.2之前的版本。攻击者已成功以管理员权限登录，具体利用方式仍在分析中。我们将在后续技术博客中公布完整细节。”
截至目前，官方仍未公布实际损失金额及受影响实例数量。
平台功能与核心定位
BTCPay Server 是一款支持自托管的开源比特币支付解决方案，允许个人与商户直接接收比特币及闪电网络付款，资金直达用户钱包，无中间商抽成，仅承担基础链上交易费。平台还集成发票管理、销售点支付、众筹和打赏等实用工具。
历史安全事件回顾
此次事件发生在三个月前一次重大安全缺陷曝光之后。当时，一个漏洞使攻击者可窃取LND节点的管理员凭证（macaroon），进而控制关联的钱包资产。
该事件时间点也与Binance遭遇大规模黑客攻击相近——后者造成超60亿美元资产被盗，被美国联邦调查局（FBI）归因于与朝鲜相关的国家支持网络组织TraderTraitor。这起案件成为加密史上最大规模的数字资产盗窃案之一。
