BTCPay Server爆安全漏洞致热钱包被盗，官方紧急建议旧版用户关闭服务器并迁移

contact@theblockbeats.org (律动BlockBeats)

11 月 5 日，开源比特币支付处理工具 BTCPay Server 于 11 月 1 日收到多起报告，称其平台上的比特币和莱特币热钱包正遭到未经授权的资金盗取。11 月 2 日，该项目团队发布调查更新，确认攻击针对的是运行 BTCPay Server 2.4.1 版本（2026 年 7 月 23 日发布）或更早版本的服务器，攻击者利用了一个已于 8 月 7 日发布的 2.4.2 版本中修复的漏洞。

调查显示，攻击者通过不同方法利用了该旧版漏洞，成功获取了服务器的管理员权限，并清空了热钱包中的资金。在发现异常后，BTCPay Server 曾于 11 月 1 日发布紧急警报，建议所有实例运营者暂时关闭服务器以配合调查。创始人 Nicolas Dorier 随后确认，只有运行 2.4.2 之前版本（尤其是 2.4.1）的服务器受到影响，而运行最新版本 2.4.7 的用户并未出现可信的损失报告。部分受影响的服务商，如 LunaNode，已自动关闭了存在风险的旧版实例以防止损失扩大。

针对此次事件，官方给出了明确的恢复指引：仅更新软件版本已不足以消除风险，因为攻击者可能已经在旧服务器上获得了持久访问权限。官方强烈建议所有仍在使用 2.4.1 或更早版本的用户（包括在 11 月 1 日警告后才升级的用户），立即采取以下措施：首先，将旧热钱包中的剩余资金转移到一个使用全新助记词创建的新钱包中；其次，将旧服务器下线并保留相关日志以供调查；最后，在一台全新的虚拟机上安装最新版本，并连接新钱包，切勿将旧服务器整体恢复到新机器上。

值得注意的是，存放在服务器之外的资金（如硬件钱包）并未受到此次事件影响，官方仍建议商户采用这种更安全的收款方式。此次漏洞与今年 8 月已修复的漏洞相关，当时攻击者曾通过获取 LND（闪电网络守护进程）的管理凭证来操控节点。尽管该漏洞影响严重，但截至目前，它并未被分配 CVE 编号，也不在 CISA 的已知被利用漏洞目录中。