比特幣開源支付工具BTCPay Server在台灣時間11月2日清晨6點25分於社群平台X發出警報，指接獲熱錢包遭未授權攻擊者掃走資金的回報，要求所有架站者先關機。同一天中午12點7分，官方更新調查結果，點名攻擊路徑鎖定2.4.1以前的舊版。
官方沒有公布損失金額，也沒有公布受害伺服器數量。最新版2.4.7沒有接獲可信的遭盜回報，官方再次呼籲所有人更新。
BTCPay Server在第一則貼文寫道：「我們接獲回報，BTCPay Server上的熱錢包遭未授權攻擊者掃走。如果你有架設站台，請先關機（./btcpay-down.sh），直到我們完成調查。」
創辦人Dorier：攻擊者以管理員身分登入
創辦人Nicolas Dorier在台灣時間上午8點28分發文：「我們的公開伺服器沒有遭到攻擊（版本為2.4.7），回報看起來都是2.4.2之前的版本。攻擊者成功以管理員身分登入那些站台，我們還在釐清他是怎麼做到的。」
核心開發者r0ckstardev在第一則警報發出約2分鐘後發文提醒：「這不是演習：如果你有熱錢包，把BTCPay Server關掉。」採用BTCPay Server收款的網站Coincards也宣布，基於謹慎先把自家伺服器關閉。
熱錢包的種子就存放在伺服器上。官方錢包文件寫明，啟用熱錢包後，系統會自動用伺服器上的種子簽署交易，並標示這項功能有安全疑慮。官方常見問題也提到，收款預設只需要擴充公鑰，商家可以完全不用內建錢包。
8月才修過重大漏洞，10月底再補85項
BTCPay Server在8月7日發布2.4.2，修補一個正遭利用的重大漏洞，未經驗證的遠端攻擊者可以取得閃電網路節點軟體LND的憑證檔，當時已有資金遭竊。官方8月公告說，一般鏈上錢包與熱錢包都不受該漏洞影響。官方這次沒有說明兩起事件是否相關。
同一版的更新紀錄也列出修補「透過Greenfield Basic驗證繞過兩步驟驗證」的問題，並改成帳號建立5分鐘後預設關閉這種驗證方式。官方沒有說這項修補和這次管理員登入有關。10月29日推出的2.4.7，再修補Anthropic開源掃描計畫回報的85項資安問題，其中重大1項、高風險13項。
自架站的商家要自己動手查版本與回報
BTCPay Server由商家自己架設，官方無法替商家遠端關機，台灣有自架站台的商家與開發者也要自己處理。中午這則更新呼籲大家更新版本，沒有撤回先前的關機呼籲，也沒有宣布調查完成。
| 版本 | 官方目前的說法 |
|---|---|
| 2.4.1以前 | 調查點名的攻擊目標，創辦人提到的回報也集中在這段版本 |
| 2.4.2到2.4.6 | 沒有被點名，官方也沒有表示安全，呼籲更新到最新版 |
| 2.4.7 | 沒有可信的遭盜回報，官方公開伺服器沒有遭到攻擊 |
照官方8月公告的做法，標準安裝可以在後台Server Settings的Maintenance頁面按Update更新，也可以執行btcpay-update.sh，更新後到管理頁尾確認版本號。官方在8月的事件說明也建議資金盡量放冷錢包，日常營運需要熱錢包時，定期把多餘資金轉走。
受害者可以把所有細節與紀錄寄到security@btcpayserver.org，這是官方在中午更新裡公布的回報窗口。
