BTCPay Server 安全警报：严重漏洞已遭利用，需立即响应
BTCPay Server 项目团队确认，一个关键安全漏洞正在被攻击者主动利用，存在导致用户资产被盗的风险。为保障系统安全，官方强烈建议所有部署实例尽快升级至 2.4.2 版本。
核心安全更新已发布
版本 2.4.2 包含针对当前威胁的必要修复措施。项目方明确指出，该漏洞已被实际利用，因此不具备延迟更新的条件。对于无法即时完成升级的运营方，必须立即停用其服务器，以防遭受进一步侵入。目前，项目方尚未公开攻击手法、影响范围或具体财务损失情况。
官方指引与操作流程
BTCPay Server 于 8 月 7 日通过其 X 平台发布正式警告，将该漏洞定级为“严重”，并强调成功利用可能造成资金损失。管理员应进入管理后台的“服务器”模块，访问“维护与更新”页面，核对底部显示的版本信息是否为 2.4.2。
官方声明称：“平台中存在一个正被积极利用的高危漏洞，极有可能引发资金被盗。”
若无法在短期内完成更新，相关运营者须立即下线服务器，避免系统持续暴露于风险之中。此举旨在阻断攻击者对潜在未修补节点的远程访问能力。
项目方未说明受影响的具体旧版本，也未披露攻击路径、入侵数量及是否有实际损失发生。
自托管架构下的安全责任转移
作为一款开源比特币与闪电网络支付处理工具，BTCPay Server 允许商家通过自主运维的节点实现去中心化支付接收。相比依赖第三方平台的服务模式，其优势在于增强控制权，但同时也将安全维护义务完全交由使用者承担。
由于该架构特性，一旦出现漏洞，受影响的部署环境可能面临支付功能被劫持或敏感配置被篡改等风险。项目方建议停机的做法，凸显了本次威胁的紧迫性。运营者不应抱有“稍后处理”的侥幸心理，而应视此次更新为强制性的安全行动。
用户应仅通过官方维护界面获取更新包，并验证版本号是否准确。项目方明确提醒，切勿使用非官方渠道提供的补丁或修改版本。
比特币基础设施安全审查持续升温
在此次事件之前，另一比特币支付服务提供商 Zeus Wallet 因遭遇网络攻击而临时下线，并在恢复前完成全面系统审计。
Zeus 声明，客户资金未受损失，且调查未发现其闪电节点软件存在可被利用的缺陷。目前尚无证据表明该事件与 BTCPay Server 的漏洞有关联。
近期多起安全事件促使整个比特币生态进入更严格的审查周期。一支由比特币红队志愿者组成的团队，在评估 390 个相关项目时，共识别出 4962 个潜在安全隐患。
其中 720 项被归类为高危或严重级别，涵盖钱包应用、加密库及底层基础设施组件。尽管如此，该团队并未对外公布仍存在未修复严重漏洞的具体项目名单。
运营者应对策略与后续步骤
BTCPay Server 运营者应将此次升级视为最高优先级的安全事件，而非普通例行维护。若无法确认系统已更新至 2.4.2，服务器必须保持离线状态直至完成修复。
商家还应审查服务器日志，排查是否存在异常登录行为或未授权操作。然而，由于项目方未提供具体的入侵特征或检测指标，运营者难以判断自身是否已成为攻击目标。
预计在更多用户完成更新、风险扩散趋于可控后，项目方将逐步释放更多信息。在此之前，官方唯一明确的指令是：务必升级至 v2.4.2，否则请立即关闭服务器。