作者：BTCPay Server
来源：http://blog.btcpayserver.org/btcpay-server-security-incident-2-4-1-and-earlier/
2026 年 11 月 1 日，我们收到了 BTCPay Server 热钱包中的比特币和莱特币（Litecoin）被盗的报告。热钱包中存储的是花费软件自身所保管的资金的密钥。
我们的调查发现，这些攻击瞄准的是运行 BTCPay Server 2.4.1（发布于 2026 年 7 月 23 日）以及更早版本的服务器。攻击者使用了另一种办法来利用在 2.4.2 版本（发布于 2026 年 8 月 7 日）中修复的漏洞。
自从我们八月份发布安全建议依赖，我们已经发布了多个进一步的安全更新。我们祈祷这些信息已经传达给了还在运行旧版本的用户、并提醒了他们升级的重要性。
你应该做什么
要检查你所运行的软件的版本，请登录并查看页面的底部。
- 如果你已经运行 2.4.2 或更高版本：在我们于 11 月 1 日发布安全警报时，我们尚未发现攻击对你的服务器的影响。
- 如果你运行的是 2.4.1 或更老版本：我们强烈建议你先清扫现有热钱包中的资金到安全的地方，然后移动资金到一个新的服务端（见下文）、使用新的钱包。哪怕你没有发现盗窃的迹象，也应该这样做；或者，如果你是在 11 月 1 日我们发布安全警报之后才从这些受影响的版本升级，那么也应该迁移资金。
- 如果资金已经被盗，或者你看到了未经授权的访问的信号：请将整台电脑以及其中的私钥都当成已被劫持/已经泄露，并且遵循同样的复原步骤，哪怕你已经在攻击后升级了软件。
如果你的钱包的花费密钥是跟服务器软件分开的，比如说你使用了硬件签名器， 那么你不受此次盗窃的影响。使用这些钱包来接受支付依然是我们建议的操作。不过，即使你将钱包密钥保管在别的地方，也依然有必要重建服务。
迁移到新的服务器
如我们在复原指南中说的，光是更新服务器可能无法移除攻击者已经拿到的访问权限。钱包余额没变，不代表攻击没发生过。
- 创建一个新的钱包，并将现有热钱包中的所有剩余资金转移过去。要使用一台信得过的设备和一套新的种子词。如果在新的服务器使用旧的种子词，并不能让你的资金脱离风险。
- 让旧的服务器下线。保留相关的日志和交易记录，用于在替换服务器之后研究它们。
- 配置一台全新的虚拟机。安装最新的受支持的 BTCPay Server 版本（记得从信得过的来源下载），并连接你的新钱包。请不要在新的机器上复原整个旧的服务器。
- 换掉可能泄露的口令和访问密钥。从一个信得过的设备上，撤销和替换掉旧服务器可以访问的证书，包括可以使用的托管、SSH、应用、API 以及闪电节点证书。请不要在旧机器上输入新的证书。
事故过程
所有时间都是 UTC 时间。
- 8 月 7 日：BTCPay Server 2.4.2 版本发布，修复了此次安全事故中被利用的漏洞。
- 8 月至 10 月：我们不断发布安全更新，包括 2.4.4 以及 2.4.5 。
- 11 月 1 日 13:46 ：出现了一份钱包资金被盗刷的事故报告。我们还不知道攻击者何时开始利用这个漏洞。
- 11 月 1 日 20:56 ：我们收到了第一份报告盗窃的电子邮件。
- 11 月 1 日：我们联系了 VPS 托管服务商，其中包括 LunaNode ，并请求他们让 BTCPay Server 实例都下线，作为保护他们的客户的一种预防措施。
- 11 月 1 日 22:25：我们在社交媒体平台提醒社区，并请求运营者们关闭自己的服务器，等待调查结果。
- 11 月 2 日：我们发布了一份研究进展，指出 2.4.1 以及更老版本是受影响的版本。我们也报告了 LunaNode 以及其他托管服务商已经采取了强制离线作为预防措施。
感谢各个托管服务商的快速响应。如果你的托管服务器运行着 2.4.1 或更老版本，请联系你的服务商获得帮助，并迁移新的虚拟机。
已经报告的目标地址
以下地址是在事故报告中识别出来的：
- 比特币：
bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7 - 莱特币：
ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee
这些地址中的部分活动似乎早于我们收到的报告所描述的盗窃。我们还没有确定完整的时间线、确定那一笔交易跟事故有关，所以，钱包中的余额不应视作已经确认的损失金额。
报告安全事故
我们正在响应受影响的用户并审核事故报告。如果你丢失了资金，或者注意到了未经许可的活动，请联系 [email protected] 。线索包括：
- 你在当时所运行的 BTCPay Server 版本，以及你最后一次更新的时间、以及上一个版本（如果你还记得的话）。
- 你注意到异常的时间（以及你的时区）。
- 相关的公开交易 ID 和地址。
如果你的资金已经被盗，也请将盗窃报告给你当地的警局。
请不要在邮件中包含你的种子词、私钥或其它证书 。在分享任何日志或配置文件之前，应该从中消除敏感信息。
随着使用 AI 的自动化攻击增多，我们请求所有用户在 BTCPay Server 发布新版本后及时安装。我们会在 X 平台以及 Telegram 社区频道定期发布新版本。
如果你的日常运营需要使用热钱包（将密钥存放在服务器中），请确保数额仅是服务器的运营所必需的，将更多的资金移动到密钥会与服务器分开放置的钱包中。
（完）
Disclaimer: The market is risky, and investment needs to be cautious. This article does not constitute investment advice. Users should consider whether any opinions, views, or conclusions in this article are in line with their specific circumstances. Investment based on this is at their own risk.