BTCPay Server爆安全漏洞致熱錢包被盜，官方緊急建議舊版用戶關閉伺服器並遷移

BlockBeats 消息，11 月 5 日，開源比特幣支付處理工具 BTCPay Server 於 11 月 1 日收到多起報告，稱其平台上的比特幣和萊特幣熱錢包正遭到未經授權的資金盜取。11 月 2 日，該項目團隊發布調查更新，確認攻擊針對的是運行 BTCPay Server 2.4.1 版本（2026 年 7 月 23 日發布）或更早版本的伺服器，攻擊者利用了一個已於 8 月 7 日發布的 2.4.2 版本中修復的漏洞。

調查顯示，攻擊者通過不同方法利用了該舊版漏洞，成功獲取了伺服器的管理員權限，並清空了熱錢包中的資金。在發現異常後，BTCPay Server 曾於 11 月 1 日發布緊急警報，建議所有實例運營者暫時關閉伺服器以配合調查。創始人 Nicolas Dorier 隨後確認，只有運行 2.4.2 之前版本（尤其是 2.4.1）的伺服器受到影響，而運行最新版本 2.4.7 的用戶並未出現可信的損失報告。部分受影響的服務商，如 LunaNode，已自動關閉了存在風險的舊版實例以防止損失擴大。

針對此次事件，官方給出了明確的恢復指引：僅更新軟體版本已不足以消除風險，因為攻擊者可能已經在舊伺服器上獲得了持久訪問權限。官方強烈建議所有仍在使用 2.4.1 或更早版本的用戶（包括在 11 月 1 日警告後才升級的用戶），立即採取以下措施：首先，將舊熱錢包中的剩餘資金轉移到一個使用全新助記詞創建的新錢包中；其次，將舊伺服器下線並保留相關日誌以供調查；最後，在一台全新的虛擬機上安裝最新版本，並連接新錢包，切勿將舊伺服器整體恢復到新機器上。

值得注意的是，存放在伺服器之外的資金（如硬體錢包）並未受到此次事件影響，官方仍建議商戶採用這種更安全的收款方式。此次漏洞與今年 8 月已修復的漏洞相關，當時攻擊者曾通過獲取 LND（閃電網絡守護進程）的管理憑證來操控節點。儘管該漏洞影響嚴重，但截至目前，它並未被分配 CVE 編號，也不在 CISA 的已知被利用漏洞目錄中。