BTCPay Server 警告：过时实例上的热钱包加密货币被盗

开源加密货币支付处理器 BTCPay Server 的维护者敦促用户安装最新版本——黑客一直在抽取运行较旧版本实例上的 "热钱包"。

运营商最初被建议关闭其服务器，等待对未经授权的 Bitcoin 和 Litecoin 支付进行完整调查。

BTCPay Server 项目为企业提供自托管的支付处理解决方案，使其能够将 Bitcoin 和其他数字资产直接接收到自己的钱包中，无需支付中介或平台处理费。

它负责处理结账发票和支付验证，包括通过 Lightning Network 的支付。

周一凌晨，维护者表示已 "识别出针对运行 2.4.1 版本（2026 年 7 月 23 日）或更早版本实例的攻击向量"，并强烈敦促用户更新到 2.4.7 版本。

BTCPay 创始人 Nicolas Dorier 表示，攻击并未针对公共服务器。调查的重点是确定威胁行为者如何能够以管理员身份登录运行低于 2.4.2 版本的实例。

10 月 29 日，该公司披露了一个通过 Anthropic 的 Frontier OSS 扫描器发现的严重漏洞，促使 2.4.7 版本作为紧急安全更新发布。

然而，Dorier 表示，有线索表明攻击者利用了 8 月 7 日发布的 2.4.2 之前版本中 BTCPay Server 的漏洞，该项目后来证实了这一点。

"我们的事件响应调查识别出针对运行 2.4.1 版本（2026 年 7 月 23 日）或更早版本实例的攻击向量，" BTCPay Server 表示。

"我们没有收到运行最新 2.4.7 版本的用户热钱包被盗的可信报告。我们再次敦促所有人保持 BTCPay Server 更新。"

BTCPay 项目于昨天（UTC 时间）晚间开始收到盗窃报告，并作出回应，要求 VPS 托管提供商将受影响的服务器实例下线，以作为保护客户的预防措施。

在今天的一份安全警报中，项目维护者表示目前正在响应受影响的用户，并持续收到事件报告。因近期攻击而损失资金的用户被要求将详情发送至 security@btcpayserver.org，并向当地当局报案。

受影响的用户应通过 Server Settings → Maintenance → Update 更新到 2.4.7 版本。

对于 Docker 安装，管理员可以通过 SSH 登录，运行 sudo su -，使用 cd btcpayserver-docker 切换到部署目录，然后执行 ./btcpay-update.sh 来更新 BTCPay Server。

如果运行的是 2.4.1 或更早版本，建议尽快将实例下线。