比特幣自託管支付軟體 BTCPay Server 週一揭露最新攻擊手法，證實已有營運者的熱錢包遭不明人士掏空，緊急呼籲還在跑舊版軟體的節點立刻關機。官方初步鎖定 7 月發布的 2.4.1 及更早版本為破口，同時強調最新版 2.4.7 尚未接獲可信的失竊通報。
（前情提要：BTCPay Server 爆重大漏洞！Foundation Lightning Node 被清空）
（背景補充：比特幣閃電網路拉響資安警報！Blockstream 旗下節點軟體 Core Lightning 遭 AI 揪出隱藏漏洞）
比特幣自託管支付軟體 BTCPay Server 週一證實，已有營運者的熱錢包遭不明人士掏空，並在調查後鎖定一條專門攻擊舊版軟體的攻擊路徑。這款讓商家自行架設節點、直接收取比特幣的開源工具，官方在 11 月 2 日透過 官方帳號說明，問題出在仍執行 2.4.1 或更早版本的例項，而該版本早在今年 7 月 23 日就已發布。
BTCPay Server 表示，最新發布的 2.4.7 版本目前沒有接獲任何可信的熱錢包失竊通報，因此呼籲所有節點營運者盡快更新手上安裝的版本。換句話說，這輪災情的破口並不在程式碼本身，而在「跑著舊版、遲遲沒更新」的營運習慣。
這並非官方第一次示警。在確認攻擊路徑之前，BTCPay 就已先在 另一則公告中要求營運者先關閉伺服器例項，並附上完整的關機操作指引，等調查釐清後再重啟。截至目前，BTCPay 仍未對外公布受影響的營運者數量、失竊資金的具體金額，也沒有說明攻擊者究竟是如何取得錢包存取許可權，只請受害使用者把相關資訊與伺服器日誌提交給官方資安團隊。
外界追問下，官方在截稿前並未回覆進一步說明。也就是說，這起事件的損失規模仍是個黑數，而受害商家最需要的技術細節，同樣付之闕如。
不到三個月前的舊傷，是否同一條路徑？
把時間往回推，這已是 BTCPay 今年第二度捲入失竊風波。今年 8 月，該專案曾因一起漏洞攻擊而限制遠端閃電網路（Lightning）存取；當時攻擊者取得閃電網路節點常駐程式（LND）的憑證後直接搬走資金。兩起事件相隔不到三個月，官方目前僅表示，最新這條攻擊路徑是否與 8 月的漏洞相關，仍待釐清。
值得注意的是，8 月那次事故發生後不久，整個比特幣生態圈就接連爆出多起資安事件：從 Coldcard 錢包的漏洞、到 Blockstream 旗下 Core Lightning 遭到大量 AI 自動產生的漏洞報告轟炸，都指向同一件事。當 AI 讓「找漏洞」的成本大幅下降，開源自託管軟體的修補速度與營運者的更新紀律，反而成了最脆弱的一環。
自託管不等於零風險
BTCPay Server 的核心賣點，正是「不假手第三方」，商家自己跑節點、自己保管私鑰，理論上把託管風險降到最低。但這起事件再次說明，自託管只是把風險從交易所轉移到自己身上：只要版本落後，攻擊者就能循著已知的攻擊路徑長驅直入，而熱錢包一旦被掏空，資金幾乎難以追回。
對商家與節點營運者而言，這次的具體功課很明確：先確認自身版本是否為 2.4.1 或更舊，並升級到 2.4.7；日常則應把熱錢包餘額壓到最低，把大部分資金移往冷錢包或多簽錢包。後續可觀察兩點，一是官方何時公布受影響規模與攻擊技術細節，二是這條攻擊路徑是否會像 8 月的漏洞一樣，擴散到其他沿用相同程式庫的比特幣支付工具。
📍相關報導📍
AI 一秒挖漏洞！Bitcoin Core 改資安政策：好找的 bug 直接全版本修
