开源加密货币支付处理器 BTCPay Server 的项目开发人员发布了一项紧急安全警告，此前监测到一系列攻击活动，旨在耗尽运行旧版本软件的服务器所关联的“热钱包”（Hot Wallets）。
漏洞详情
项目创始人尼古拉斯·多里耶（Nicolas Dorier）证实，调查显示存在一个专门针对 2.4.2 版本之前版本的攻击向量，攻击者能够获取这些服务器的管理员（Administrator）权限。此前，Anthropic 公司的 Frontier OSS 扫描工具发现了一个关键漏洞，促使团队发布了 2.4.7 紧急安全更新。
团队指出，攻击并未针对公共服务器，而是集中在未更新的自托管实例上。截至目前，尚未有关于已升级至 2.4.7 版本用户遭受黑客攻击的可靠报告。
用户应采取哪些措施？
该项目强调必须立即采取行动保护数字资产，特别是对于仍在使用 2.4.1 或更早版本的用户：
- 立即更新：所有运营商必须通过服务器设置（Server Settings → Maintenance → Update）升级至 2.4.7 版本。
- 停止服务器：强烈建议在完成更新前，立即停止受影响服务器的运行，作为预防措施。
- Docker 用户：可以通过 SSH 访问服务器，进入安装目录（btcpayserver-docker），并执行更新命令（./btcpay-update.sh）进行更新。
为什么此消息很重要？
此警告的重要性在于 BTCPay Server 作为自托管支付解决方案的性质；用户需对服务器和数字资产的安全承担全部责任，且没有中介机构。利用管理访问漏洞意味着攻击者能够完全控制支付和验证流程，直接威胁到商家和用户的资金安全。团队已要求受害者将事件详情发送至其安全邮箱（security@btcpayserver.org），并向当地有关部门报告资金损失情况。