〔品傳媒／綜合外電報導〕開源比特幣支付處理軟體BTCPay Server於台灣時間11月2日清晨6時25分發出資安警示，表示接獲多起架設在其實例上的熱錢包遭未經授權轉出資金的回報，籲自行架設伺服器的商家與營運者立即關閉服務、等待調查結果。創辦人尼可拉斯·多莉耶（Nicolas Dorier）約2小時後更新指出，受影響案例似乎集中在較舊版本，目前損失規模與入侵管道仍未公布，使用該軟體收取比特幣的商家需立即檢查自身系統。
重點摘要：BTCPay Server警告多個實例的熱錢包遭盜轉，要求營運者先執行關機指令。創辦人表示，回報案例似乎均使用早於2.4.2的版本，官方運行2.4.7版的公用伺服器未受攻擊；攻擊者是以管理員身分登入受害實例，權限取得方式仍在調查。
BTCPay Server發布緊急警示 熱錢包遭未授權轉出
根據韓國加密媒體TokenPost報導，BTCPay Server於美東時間1日下午5時25分（台灣時2日清晨6時25分）發出警示，指出接獲架設於其實例上的熱錢包遭未經授權「掃走」資金的回報，要求營運者執行「./btcpay-down.sh」關機指令，在調查完成前暫停服務。
加密媒體The Defiant同樣報導，官方警示並未說明受影響的版本，也未宣布修補程式。科技媒體RuntimeWire引述社群情資帳號指出，攻擊者是在多個不同的安裝環境中提走熱錢包資金，創辦人多莉耶自己架設的網路也已下線。截至發稿為止，官方尚未公布受影響的安裝數量與損失金額。
創辦人：受害案例疏似使用舊版 2.4.7版公用伺服器未受攻擊
TokenPost後續報導，多莉耶於台灣時間2日上午8時28分表示，目前的熱錢包遭竊回報，看起來均涉及早於2.4.2版的BTCPay Server；專案方運行2.4.7版的公用伺服器則未遭攻擊。報導也指出，攻擊者是以管理員身分登入受影響的實例，但團隊尚未查明這些權限是如何取得。
BTCPay Server讓商家在自己架設的基礎設施上直接收取比特幣付款，無需透過第三方金流業者。在熱錢包模式下，錢包種子可以存放在伺服器上，以便自動簽署交易；一旦伺服器管理權限外洩，熱錢包內的資金就可能直接暴露在風險中。
| 時間（台灣時間） | 進展 |
|---|---|
| 11月2日 06:25 | BTCPay Server發出警示，籲營運者執行關機指令 |
| 11月2日 08:28 | 創辦人多莉耶表示案例疏似涉及2.4.2以前版本，2.4.7版公用伺服器未受攻擊 |
| 尚未公布 | 受影響安裝數量、損失金額、管理員權限外洩管道 |
資料來源：TokenPost、The Defiant報導
背景：今年8月曾爆閃電網路節點遭掛空漏洞
2.4.2版對BTCPay Server使用者並不陌生。根據比特幣媒體TFTC報導，BTCPay Server曾於今年8月7日確認一項嚴重漏洞遭實際利用，攻擊者可在無需登入的情況下竊取閃電網路（LND）節點的憑證檔案，進而掛空節點通道資金；官方當時立即發布2.4.2版修補，並要求營運者更新或關機。
The Defiant當時報導，硬體錢包商Foundation與比特幣刊物Citadel21都表示其節點資金遭轉走，部分情況甚至發生在官方公開警示之前。TFTC也提到，更新至2.4.2版只能阻擋新攻擊，已遭竊取的憑證仍需另行撤銷，官方也建議將資金移出由BTCPay產生的熱錢包並重建錢包。這次事件是否與未完成更新或憑證未撤銷有關，仍有待官方調查確認。
後續觀察：自架支付軟體的維運責任
RuntimeWire指出，自架式支付軟體讓每一位營運者都要自行負責資安與事件應變，在受影響版本、根本原因與損失都不明的情況下，應變速度受到考驗。後續觀察重點包括BTCPay Server是否公布完整事後報告、是否需要新的修補版本，以及受害商家的實際損失規模。今年加密產業資安事件頻傳，全年損失統計可參考品傳媒報導〈CertiK：2026年加密貨幣駭損達92億美元創紀錄〉。
常見問題 FAQ
BTCPay Server是什麼？
BTCPay Server是開源的比特幣支付處理軟體，讓商家在自己架設的伺服器上直接收取比特幣及其他加密貨幣，不必透過第三方金流業者。
使用BTCPay Server的營運者現在該怎麼做？
官方要求營運者先執行「./btcpay-down.sh」關閉實例，在調查完成前保持停機。創辦人表示受害案例疏似使用早於2.4.2的版本，營運者可留意官方後續公告。
這次事件損失多少？
截至發稿為止，BTCPay Server尚未公布受影響的安裝數量或損失金額，調查仍在進行中。
參考資料
- TokenPost：BTCPay Founder Says Theft Reports May Involve Older Versions
- TokenPost：BTCPayServer Urges Operators to Take Instances Offline
- The Defiant：BTCPay Server Urges Shutdown After Reports of Hot-Wallet Sweeps
- RuntimeWire：BTCPay Server tells operators to shut down after reports of hot wallet drains
- TFTC：BTCPay Server v2.4.2 Patches Live LND Macaroon Exploit Draining Lightning Nodes
- The Defiant：Lightning Nodes Drained As BTCPay Server Users Race To Patch
※本文內容僅供資訊參考，不構成任何投資建議。加密貨幣價格波動劇烈，投資前請審慎評估自身風險承受能力。
※本文由 AI 輔助撰寫。首圖為示意圖（圖／Freepik）。