BTCPay Server 热钱包漏洞警报：旧版本服务器遭攻击

BTCPay Server 创始人 Nicolas Dorier 周日披露，一起热钱包资金被盗事件与运行过时版本平台的服务器密切相关。此次攻击集中于未及时升级至 2.4.2 及以上版本的实例，在商户和开发者社区引发广泛关注。

攻击目标明确：旧版软件成风险源头

BTCPay Server 是一个开源的比特币支付处理系统，广泛被商户用于接收加密货币交易。美国东部时间周日下午 5:25，该团队发布安全警告，建议所有用户立即通过执行脚本 ./btcpay-down.sh 暂停受影响的服务器实例，直至进一步通知。

约两小时后，Dorier 明确表示，只有运行 2.4.2 之前版本的服务器受到实际影响。他强调，项目自身运行的 2.4.7 版本基础设施未遭入侵，且目前无可信报告显示更新至该版本的用户资金受损。

调查发现，攻击利用的是 2.4.2 版本发布前存在的安全缺陷。具体而言，漏洞存在于 2023 年 7 月 23 日发布的 2.4.1 版本或更早版本中。自 2.4.2 版本发布以来完成至少一次系统更新的运营商被认为处于安全状态。

Dorier 建议用户避免将大量资金存入热钱包，并承诺将在近期发布详细的安全防护指南。多家托管服务商已主动采取措施，自动关闭存在风险的实例，以防止进一步损失。团队对 LunaNode 等服务提供商的快速响应表示感谢。

BTCPay 团队正收集受害者的服务器日志信息，以支持持续的漏洞溯源工作。

“热钱包”模式下的安全隐患凸显

作为自托管支付解决方案，BTCPay Server 的安全性**依赖于运营方的维护水平。在热钱包模式下，交易签名密钥直接存储于服务器，一旦被非法访问，资产将面临极高风险。

相关漏洞可追溯至今年 8 月。当时，2.4.2 版本的发布旨在修复一个已被利用的关键问题——攻击者可通过特定手段窃取 Lightning Network Daemon (LND) 的 macaroon 凭据，从而获得对闪电网络节点的未授权控制。

Sparrow Wallet、Foundation 及 Citadel21 的开发者 Craig Raw 表示，其闪电网络节点在同一时期也遭遇类似攻击。虽然 2.4.2 版本会自动重置 LND 的凭据，但使用旧版本且**了闪电网络端点的用户仍需手动操作才能恢复安全。

此外，另一独立漏洞允许绕过 Greenfield API 的 TOTP 双因素认证，也在 2.4.2 更新中得到修复。团队澄清，此问题与 macaroon 漏洞无关。

尽管此前公告曾保证链上钱包未受波及，但本次事件表明，若服务器未及时更新，“热钱包”依然存在显著风险。目前尚无法确认此次攻击是否沿用八月漏洞，或利用了更早期的未公开缺陷。

为追回损失资金，社区已设立** 3 BTC 的赏金计划，返还金额的 10% 将作为奖励。

数据显示，2025 年比特币商户平均交易量同比增长 74%，闪电网络月交易额突破 10 亿美元，反映出支付生态快速发展的同时，安全防护压力日益加剧。

术语表

BTCPay Server：一个开源的比特币支付处理工具，支持商户通过自建服务器接受加密货币。其核心优势在于用户对资产的**控制，但也要求运营方保持高度警惕，定期进行安全更新。

BTCPay Server 版本对比