BTCPay Server警告：旧版2.4.1版本存在热钱包攻击风险_新闻

免责声明：内容不构成买卖依据，投资有风险，入市需谨慎！

BTCPay Server警告：旧版2.4.1版本存在热钱包攻击风险

2026-11-02 18:21:51

据 BTCPay Server 创始人 Nicolas Dorier 透露，周日报告的热钱包资金被盗事件与运行过时版本 BTCPay Server 平台的服务器有关。这些攻击似乎主要针对运行 2.4.2 之前版本的实例，在运营商和更广泛的比特币商户社区中引发了紧急担忧。

BTCPay Server 是一个开源的比特币支付网关，被众多商户广泛用于处理加密货币交易。美国东部时间周日下午 5:25，BTCPay 团队发布警报，敦促用户立即使用脚本 ./btcpay-down.sh 关闭任何正在运行的受影响实例，直到关于此次漏洞利用的信息进一步明朗。

大约两小时后，Dorier 确认只有运行 2.4.2 之前版本的服务器受到损害。他澄清称，运行 2.4.7 版本的项目公共服务器未受此次事件影响。

Dorier 表示，团队掌握了针对 2.4.2 版本发布前存在的漏洞进行利用的证据。随后的调查揭示，主要攻击向量专门针对运行 2023 年 7 月 23 日发布的 2.4.1 版本或更早版本的服务器。

运行 2.4.7 版本的 BTCPay 自身基础设施未发生任何入侵，且目前尚无可信报告指出更新至该版本的用户的“热钱包”资金被盗。Dorier 指出，自 2.4.2 版本发布以来至少更新过一次系统的运营商被认为免受近期攻击的影响。他敦促用户不要在热钱包中存放过多资金，并宣布详细的预防指南即将发布。

几家托管提供商采取了主动措施，自动关闭了易受攻击的实例，以防止进一步的利用。BTCPay 公开感谢 LunaNode 和其他服务提供商的快速响应。

BTCPay 团队已要求事件受害者向安全团队发送详细的服务器日志和信息，以协助 ongoing 的调查。

BTCPay Server 作为一个自托管平台，这意味着只有服务器运营商——而非 BTCPay 团队——才能控制或关闭商户服务器。在“热钱包”模式下，支付网关使用直接存储在服务器上的种子密钥签署交易，如果未经授权的一方获得访问权限，资金将面临风险。

漏洞的时间线可追溯至八月，当时 BTCPay 发布了 2.4.2 版本以解决一个正在被利用的关键缺陷。包括初始 2.4.2 候选版本在内的先前版本，允许攻击者窃取 Lightning Network Daemon (LND) 的 macaroon 凭据并获得对闪电网络节点的未经授权的访问控制权。

Sparrow Wallet、Foundation 和 Citadel21 的开发者 Craig Raw 报告称，在同一时期他们的闪电网络节点遭到攻击。BTCPay 的修补版本会自动重新生成 LND 的 macaroons，但运行旧版本且暴露了闪电网络节点的运营商必须手动更新凭据才能获得完全保护。

通过 Greenfield API 基本身份验证绕过 TOTP 双因素认证的另一独立问题也在 2.4.2 更新中得到解决。BTCPay 澄清，此错误与 macaroon 漏洞利用无关。

尽管 BTCPay 之前的公告称其在八月的事故中链上钱包未受影响，但周日的事件表明，如果服务器未及时更新，“热钱包”仍然容易受到攻击。BTCPay 和 Dorier 尚未确认最新的攻击是利用了八月的 macaroon 漏洞还是另一个早于 2.4.2 版本的漏洞。

在八月攻击之后，支持者设立了高达 3 BTC 的赏金，用于追回丢失的资金，这相当于任何返还资产的 10%。

比特币支付公司 River 报告称，2025 年商户平均使用的比特币增加了 74%，闪电网络交易量每月超过 10 亿美元。

BTCPay Server： 一个开源支付处理器，允许商户通过自托管基础设施接受比特币和加密货币。该平台强调用户控制权，但需要 diligent 的安全更新以确保安全操作。

展开阅读全文

BTCPay Server警告：旧版2.4.1版本存在热钱包攻击风险