BTCPay Server 紧急停服：旧版本商户热钱包遭黑客攻击
2026年11月1日，开源比特币支付处理器 BTCPay Server 发布紧急停服警告。该项目方发现，攻击者正积极从商户的热钱包中窃取资金。为此，项目指导运行自托管服务器的操作员手动执行停服脚本，并将实例下线，以便其安全团队展开调查。
据创始人 Nicolas Dorier 介绍，初步调查显示，黑客获取了运行 2.4.1 或更早版本系统的最高管理员权限。
🚨 我们收到报告，BTCPay Server 上的热钱包被未经授权的攻击者扫空。
如果您正在运行实例，请在调查完成前将其关闭（./btcpay-down.sh）。
— BTCPay Server (@BtcpayServer) 2026年11月1日
尽管事件严重，但 BTCPay Server 表示，目前尚无可信报告称运行最新版本 2.4.7 的实例发生了资金被盗。被盗比特币的总金额及受影响商户的数量仍不详。调查人员仍在试图确定攻击者如何绕过平台的安全防护。
此次事件发生在今年8月之后不久，当时利用 BTCPay Server 2.4.2 以下版本的漏洞，远程攻击者通过访问 Lightning Network Daemon 凭证文件窃取了资金。此外，Core Lightning 开发者也在10月发布了紧急安全警告，确认攻击者正积极针对未修补的比特币闪电网络节点。
批评人士质疑：热钱包是否仍是自托管的安全隐患？
此次泄露事件凸显了公众对联网钱包资金安全的常见误解。当去中心化平台遭遇黑客攻击时，批评者常借此质疑自托管的安全性。
然而，X 用户 @2528 反驳了这一观点，指出将比特币存放在活跃服务器上的热钱包中，其风险与将资金存放在中心化交易所类似。该用户表示，真正的自托管要求将大部分资产离线保存在冷钱包中，仅保留少量资金在热钱包中以供日常交易使用。评论者还指出，中心化交易所面临类似的互联网安全风险，并举例称 Binance 据报道从其自身热钱包损失了超过60亿美元。
@BtcpayServer 热钱包被扫就喊自托管不安全？？这锅甩得挺远
挂服务器上的热钱包跟交易所热钱包一个性质，联网就是靶子
真正自托管是大头冷钱包离线，热的只留花销
Binance 丢63亿也是热钱包，咋不说托管不安全
说白了，别把热钱包跟自己掌握私钥画等号
— 2528 (@zhaiynbaba) 2026年11月2日
其他专家建议：假设助记词已泄露，立即迁移资金
X 用户 @Bam 解释说，一旦攻击者获得管理员级别的访问权限，受害者应假设其钱包恢复助记词已暴露。Bam 建议受影响用户使用完全隔离的设备访问其受损钱包，并将剩余资金转移到具有全新助记词的新钱包中。
如果攻击者成功以管理员身份登录受害者服务器，那么可以安全地假设其助记词已 compromised（泄露），仅关闭服务器是不够的。他们应假设助记词已泄露，并需要将其导入另一个钱包（因为服务器应保持离线状态），然后发送到另一个拥有信任/新助记词的钱包。即需要一个恢复钱包和一个迁移钱包。
— Bam 🎰 (@bamskki) 2026年11月2日
关闭受影响的服务器可能会阻止进一步的活动，但这并不能保证连接到受损钱包的资金是安全的。
软件更新滞后如何助长黑客利用漏洞攻击
BTCPay Server 攻击的时间点引发了人们对黑客利用已知软件漏洞速度的担忧。就在紧急停服警告发布的几天前，即10月29日，BTCPay Server 开发人员发布了 2.4.7 版本，以解决包括一项关键漏洞在内的85项安全问题。
目前尚不清楚攻击者是否利用了这些先前识别出的弱点，还是发现了进入平台的另一种途径。然而，安全更新与报告的攻击之间短暂的时间间隔，引发了人们关于黑客如何快速研究公开代码更改并利用它们来攻击未更新软件的疑问。
这也指出了针对过时系统进行自动化攻击的可能性日益增加。X 用户 @Michael 建议，攻击者可能正在使用人工智能扫描网络以查找新披露的漏洞，并对未安装必要更新的系统快速执行漏洞利用脚本。
Michael 认为，开发人员也应使用基于人工智能的安全工具，在攻击者利用漏洞之前识别并修复这些漏洞。
@BtcpayServer 在我看来很明显，他们正在使用 AI 测试每个系统中的弱点，然后运行漏洞利用程序……最好的防御措施是运行 AI 白帽测试，并在骗子之前找到漏洞。
— Michael McMahon (@mmcmahon09) 2026年11月1日
对于像 BTCPay Server 这样的开源项目，透明度是建立信任的重要组成部分。然而，公开披露安全修复程序也可能为攻击者提供有关旧软件版本弱点的有用信息。
这给操作员带来了更大的压力，要求他们在安全更新可用时尽快安装。即使开发人员成功识别并修复了漏洞，继续使用过时版本的用户可能仍然面临攻击风险。
