BTCPay Server 旧版本现安全漏洞 导致热钱包资金被盗

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

BTCPay Server 官方于 11 月 2 日在 X 平台发布声明，确认其早期版本存在可被利用的安全缺陷。该漏洞影响运行 2.4.1 或更早版本的实例，攻击者借此获取了部分比特币热钱包的控制权，引发资金未经授权提款。

安全漏洞范围与最新修复进展

调查结果显示，受影响系统主要集中在 2026 年 7 月 23 日前发布的软件版本。尽管具体技术机制尚未披露，但项目组已明确指出，最新发布的 2.4.7 版本未报告任何可信的钱包被盗事件。该版本于 10 月 29 日上线，共修复 85 项安全问题，涵盖身份验证、权限管理、钱包操作及支付处理等关键环节。

BTCPay 强调，此次更新不仅提升了系统稳定性，也显著增强了整体安全性。开发者建议所有运营商，尤其是多商户支持型服务器，立即执行升级流程。

风险暴露与用户应对建议

BTCPay Server 是一个开源的非托管支付解决方案，允许商家直接接收比特币付款。然而，其热钱包配置依赖服务器本地存储签名凭证，一旦主机环境遭入侵，便可能面临资产外泄风险。

平台文档明确区分热钱包与外部管理钱包：前者由服务器持有私钥，后者则通过扩展公钥实现收款，私钥保留在外部。虽然后者能降低直接资金损失风险，但若服务器本身被攻陷，仍可能引发其他支付异常或数据泄露。

目前，项目方正积极收集受影响用户的日志与反馈，以进一步厘清攻击路径和影响范围。所有疑似被侵入的实例均需提交至 security@btcpayserver.org 进行核查。

历史漏洞对比与当前事件差异

本次事件紧随 8 月发生的闪电网络凭证泄露事件。当时攻击者利用 LND 宏凭证（macaroon）漏洞，远程操控节点并转移资金。该问题已在 2.4.2 版本中修复，并通过自动轮换机制增强防护。

值得注意的是，8 月事件仅波及闪电网络节点，不影响链上热钱包。而此次 11 月事件则直接指向热钱包的未经授权提款，两者虽同属 BTCPay 系统，但技术层面暂无明确关联。

由于受害者数量、被盗金额等核心数据仍未公开，市场尚无法评估实际财务影响。但此类连续安全事件再次引发对去中心化支付基础设施安全性的关注。