BTCPay Server 旧版本现新攻击向量，热钱包资金遭未授权提取

开源比特币支付处理器 BTCPay Server 近期确认存在一种新型安全威胁，影响其早期部署版本，引发多起用户热钱包资产被未经授权转移的报告。该漏洞主要针对运行 2.4.1 或更早版本的实例，这些版本自 2026 年 7 月 23 日发布后持续使用。

最新版本未受波及，紧急升级成首要任务

BTCPay 团队明确指出，当前最新版本 2.4.7 暂未发现相关攻击迹象。截至目前，所有已升级至该版本的用户均无资金损失的可靠记录。为降低潜在风险，团队强烈建议所有服务器管理员立即检查系统状态，并尽快完成软件更新。

热钱包安全风险凸显，需加强主动防护

尽管尚未公布具体受影响的运营方数量或损失金额，但 BTCPay 已要求仍在使用旧版本的机构将系统临时下线，并严格遵循官方发布的安全操作指南。团队警告称，若不及时更新，热钱包中的资产将持续面临被攻击的风险。

热钱包是指始终连接互联网的数字资产存储方式，虽便于快速交易，但相较离线冷钱包，其安全性较低，易成为攻击目标。

事件背景与后续调查进展

此次安全事件发生在不到三个月前另一起闪电网络相关漏洞之后。当时，攻击者通过窃取 LND 凭据实施资金转移，促使 BTCPay 限制远程访问权限以增强防护。目前，团队尚未确认本次漏洞是否与此前事件存在关联。

BTCPay 正在深入分析根本原因，同时邀请受影响用户提交详细日志和异常活动信息，以支持调查工作。社区反馈被视为关键支撑，对识别攻击模式和修复方案具有重要意义。

行业观察人士指出，此类事件再次凸显自建加密支付系统在维护过程中面临的持续安全挑战。定期更新、配置审查与主动监控已成为保障资产安全的核心措施。