BTCPay Server 紧急警告：旧版本遭攻击致资金被盗，用户须立即停用

开源比特币支付处理器 BTCPay Server 近日发布紧急安全通知，呼吁所有用户立即停用其支付服务器实例。据报告，攻击者通过未授权访问手段入侵了运行旧版本软件的服务器，并成功从关联的比特币热钱包中转移资金。

受影响版本与攻击路径

调查确认，此次事件主要针对运行版本 2.4.1 或更早的系统实例。相较之下，最新发布的 2.4.7 版本目前尚未出现可信的资金损失案例。项目联合创始人 Nicolas Dorier 表示，攻击者已获取管理员权限，但具体入侵方式仍在排查中。值得注意的是，官方托管的公共服务器（均已升级至 2.4.7）未受影响，表明问题集中于未及时更新的私有部署实例。

应急措施与操作指引

在 11 月 2 日的安全通告中，项目方明确要求所有运营商暂时停止服务，直至调查完成。官方提供脚本 ./btcpay-down.sh 用于快速关停服务。团队强调，仅运行最新版本 2.4.7 的用户当前无直接风险，但仍建议限制热钱包余额，并将闲置资产转入离线冷存储以降低潜在损失。

托管服务商协同应对

包括 LunaNode 在内的多家云服务提供商已主动关闭部分存在隐患的旧版本实例，防止进一步扩散。项目方对这些迅速响应的合作伙伴表示感谢。由于部分用户依赖托管服务部署，其服务器可能已被自动关停，需等待服务商恢复或自行完成修复后方可重新上线。

损失情况与后续追踪

截至目前，项目方尚未公布被盗资金总额、受侵服务器数量及受害者人数。技术细节仍处于保密阶段，也未给出调查完成时间表或追回进展。怀疑遭遇入侵的用户被要求将系统日志和事件记录提交至 security@btcpayserver.org，供安全团队深入分析。

历史安全事件回顾

这不是 BTCPay Server 首次面临重大安全威胁。今年 8 月，项目曾披露一个可被利用的漏洞，允许攻击者获取 LND 管理员凭据，进而访问 Lightning Network 钱包。当时，项目方紧急推动用户升级至 2.4.2 或以上版本，且该漏洞不影响链上热钱包。

为激励漏洞发现，基金会设立赏金计划，承诺最高 3 BTC（相当于追回金额的 10%），并向 Sparrow Wallet 开发者 Craig Raw 及 Bitcoin Red Team 基金各奖励 0.21 BTC。

此外，近期比特币支付基础设施领域接连传出风险预警。9 月，Core Lightning 提醒运营商注意针对未打补丁旧版节点的攻击活动。尽管已有攻击报告，但尚未确认造成实际资金流失。

随着事件持续演进，BTCPay Server 将持续监控安全态势并更新防护指南。运营商应保持关注官方渠道，确保系统始终处于最新状态，防范潜在威胁。