BTCPay Server 是企业用来接受比特币支付的免费开源工具，在有报道称攻击者正在耗尽与其连接的热钱包后，该服务器于周日要求运营商关闭其服务器。

该项目于下午 5:25 发推文称：“我们收到有关 BTCPay 服务器上的热钱包被未经授权的攻击者席卷的报告。”等。 “如果您正在运行实例，请关闭它（./btcpay-down.sh），直到我们完成调查。”

🚨 我们收到有关 BTCPay 服务器上的热钱包被未经授权的攻击者扫描的报告。

如果您正在运行实例，请关闭它 (./btcpay-down.sh)，直到我们完成调查。

- BTCPay 服务器 (@BtcpayServer) 2026 年 11 月 1 日

大约两个小时后，BTCPay 创始人 Nicolas Dorier 表示，这些报告似乎涉及早于 2.4.2 版本的版本，并且攻击者已使用管理员访问权限登录到受影响的服务器。

周日晚些时候，该项目表示，其调查发现了一个针对运行 7 月 23 日或更早版本的 2.4.1 版本的实例的攻击向量。 “我们没有关于运行最新 2.4.7 版本的用户热钱包流失的可靠报告，”该公司表示，敦促每个人保持软件更新，并要求受影响的用户将详细信息和日志发送给其安全团队。

该项目表示，包括 LunaNode 在内的一些托管提供商已自动关闭 BTCPay 实例，以阻止旧版本被利用。 BTCPay 尚未透露有多少服务器受到影响，也没有透露有多少比特币被盗走。

热钱包和BTCPay的紧急更新

由于 BTCPay 是自托管的，每个商家都在自己的服务器上运行该软件，并且没有中央运营商可以关闭实例。商家可以选择运行热钱包，它将钱包的种子存储在连接互联网的服务器上，以便它可以自动签署交易。 BTCPay 自己的文档将该功能标记为“危险”，并警告说它“存在安全隐患”。

这些攻击发生在 BTCPay 周四发布 2.4.7 版本的紧急更新几天后，该版本修复了一个关键漏洞和多个中等严重程度的漏洞，据称这些漏洞是通过 Anthropic 的前沿开源软件扫描程序引起注意的。 BTCPay 尚未透露攻击是否利用了这些缺陷。

这并不是该项目今年第一次出现安全恐慌。 8月份，BTCPay警告称，2.4.2之前的所有版本中的一个严重漏洞正在被积极利用，并告诉用户更新或关闭他们的服务器。该项目的支持者后来提供了返还被盗资金 10% 的追偿赏金，上限为 3 BTC。