L4 · 化粪池炸了BTCPay · 比特币 · 热钱包btcpay-hot-wallet-reports

BTCPay 确认旧漏洞导致钱包失窃，要求迁到干净服务器恢复

BTCPay 确认 2.4.1 及更早版本遭失窃，攻击采用 8 月 2.4.2 已修复漏洞的另一种利用方法。旧版或失陷部署即使已更新，也须新 VM、新钱包种子并替换凭据。Bitquery 约 163 万美元、682 次转账仍是未经独立核实的交易估算，不是受害人数。

披露时间: 2026年11月1日; 更新于 2026年11月6日
严重程度: CVSS 9.8; 本页收录 1 个 CVE
波及范围: 已识别攻击路径针对 BTCPay Server 2.4.1 及更早版本，受影响实例的热钱包存在风险; crypto
在野利用: 已发现; BTCPay 确认针对 2.4.1 及更早版本的 BTC／LTC 失窃。

发生了什么

项目方 11 月 1 日的警告要求自托管支付系统的运营者采取遏制措施。实际钱包资金被转走的报告支持 L4 评级，但调查仍属初步阶段。最初预警不能确定受影响实例数量、被盗金额、是否所有热钱包均暴露，或入口究竟是软件、凭据还是某个部署组件。

不能据此推断冷钱包、所有闪电网络部署或比特币网络遭入侵。最初警告未关联漏洞编号或修复版本；下方11月2日的观察缩小了报告涉及的版本范围，但不能确立完整主机恢复流程。

11 月 2 日范围更新： 项目方已识别一条针对 2.4.1 及更早版本的攻击路径。Dorier 报告攻击者以管理员身份登录，入口仍未知。项目方尚无可信的 2.4.7 热钱包被盗报告；Dorier 表示其运行该版本的公共服务器未遭攻击，并呼吁经常更新、仅保留少量热钱包余额。这些说明缩小了已观察范围，但不能证明所有较新实例均安全，也不能将本次事件关联至8月某个具体漏洞。厂商确认的损失总额、受影响实例数及完整恢复指引仍未确认。另一个完整 Dorier 帖子报告存在 2.4.2 以前漏洞的利用痕迹，但未说明哪个漏洞或组合促成管理员访问。

11 月 2 日追踪更新： Bitquery 原始调查估算，682 笔归集转账涉及约 163 万美元，约为 18.38 BTC 及 3405 LTC。其中 267 笔在公开警报后发生，按其选定价格约值 15 万美元。这些研究数字尚未获独立核实，也并非项目方确认的最终损失数字。交易次数无法确定服务器或人数，同一运营者可能遭多次转出。

比特币覆盖截至区块 974216（11 月 2 日 05:42 UTC），莱特币截至 06:00 UTC。估算覆盖被点名的归集地址，不含闪电网络及其他币种，也排除了关联钱包收到但未转入已点名归集地址的 0.26 BTC。估值采用每 BTC 78326 美元、每 LTC 55.54 美元，改用其他估值日期会改变美元结果。Bitquery 称，截至统计时点，超过 99% 仍在本次盗窃中首次使用的地址内。这不证明资金已冻结、退回或能够追回；没有标签的转出地址也不能证明是交易所充值地址。

项目方另行确认，部分托管商已自动关闭较旧实例。任何重启前均应向托管商核查自身服务状态；该通知未提供完整主机清理或资金追回流程。

11 月 2 日完整报告，于 11 月 3 日核实： 本报告取代此前不完整的恢复指引，以及尚不能关联 8 月漏洞的评估。BTCPay 确认攻击使用了针对 2.4.2 已修复漏洞的另一种方法；11 月 1 日警告时已运行 2.4.2 或更高版本的服务器，未观察到本轮攻击影响。旧部署（含警告后才更新者）即使没有可见失窃，也应迁至新 VM 和新种子钱包；发现失陷迹象时，无论当前版本都应同样处置。支付密钥保存在服务器外的钱包未受本轮失窃影响，但旧服务器仍需重建。项目公布相同 BTC／LTC 收款地址，并明确提醒较早活动及未定归属，使其余额和历史不能代表已确认损失。上文 Bitquery 估算仍受来源和时点限制，不是厂商确认的总损失。

11 月 6 日编号及范围交叉核查： 11 月 5 日 CVE 记录为 8 月已修复的 LND macaroon 漏洞补上编号。8 月公告称普通 BTCPay 链上热钱包及其他 Lightning 实现不属于该凭据路径，但 LND 自身的链上资金仍可能暴露。独立的 11 月 2 日报告明确描述不同利用方式及 BTC／LTC 热钱包盗窃。不能据 8 月排除范围认定旧主机安全，也不能推断全部 11 月扫款均为 LND 提款；保留上方新 VM、新种子、凭据轮换及未经独立核实的追踪边界。

马桶里有什么

CVE-2026-119757CVSS 9.8

8 月已修复漏洞中的 LND macaroon 凭据泄露

VulnCheck 于 11 月 5 日公布编号，涉及 2.4.2 前版本及候选版未认证读取 LND 凭据文件。CVSS 3.1 为 9.8，4.0 为 9.3；不能独立解释 11 月不同的利用方式。

修复版本

产品	安全版本	备注
8 月 LND 泄露问题的 BTCPay Server 最低版本	`2.4.2`	不含 2.4.2 候选版；应使用当前受支持版本，已失陷主机仍须重建
8 月 BTCPay 更新内置的 LND	`0.21.1`	核实部署及 macaroon 已重新生成；自行暴露的路径需手动轮换凭据

案发时间线

11月1日 13:46 UTC
后续报告记录一次钱包失窃
项目完整报告给出这次资金转走的时间，但明确尚未确定攻击者首次利用漏洞的时间。
11月1日 20:56 UTC
项目收到第一封失窃报告邮件
这是项目收到邮件的时间，不是首次攻击或全部受害者的起始时间。
11月1日 22:25 UTC
项目方警告热钱包资金被转走，要求关停实例
官方预警要求运营者执行 ./btcpay-down.sh，直至调查结束；未公布补丁或重启时间。
2026年11月2日
创始人报告较旧实例遭管理员访问
Nicolas Dorier 表示报告似乎涉及 2.4.2 以前的版本；攻击者如何以管理员身份登录仍在调查。
2026年11月2日
项目方识别针对 2.4.1 及更早版本的路径
可读官方更新称尚无可信的 2.4.7 热钱包被盗报告。公开嵌入副本截断了后续指引，不能据此确定重启流程。
2026年11月2日
项目方确认部分托管商关闭了较旧实例
运营者应向托管商核查；帖子感谢 LunaNode 等服务商，但未宣称所有托管实例均安全。
2026年11月2日
Bitquery 公布限定时间范围的 BTC、LTC 追踪估算
研究统计 682 笔归集转账中的约 18.38 BTC 及 3405 LTC，其中 267 笔发生于最初警报后。比特币覆盖截至区块 974216（05:42 UTC），莱特币截至 06:00 UTC；这是交易次数，不是受害者数量。
2026年11月2日
项目完整报告确认旧漏洞利用及恢复步骤
项目将攻击关联到 8 月 2.4.2 已修复漏洞的另一种利用方法；受影响旧部署须迁到新服务器、使用新种子并更换凭据，即使已更新或未发现失窃也适用。
2026年11月5日
CVE 记录标识 8 月的 LND 凭据泄露漏洞
CVE-2026-119757 涉及 2.4.2 前版本及候选版未认证读取 .macaroon。8 月公告将普通 BTCPay 链上钱包排除在该路径外；11 月报告针对不同利用方式，仍要求更广的旧主机恢复措施。

各方说法

我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。

BTCPay Server 原始紧急预警一手来源项目方表示收到热钱包资金被未经授权者转走的报告，要求调查期间关停实例；原帖 HTML 访问受限，但完整官方公开嵌入副本可读。
BTCPay Server 预警的官方公开嵌入副本一手来源
BTCPay Server Docker 运维文档一手来源说明关停包装命令及容器生命周期；运维文档不是本次事件的专门修复。
11月2日官方范围更新的公开嵌入副本一手来源可见内容识别 2.4.1 及更早版本，称尚无可信的 2.4.7 热钱包被盗报告；后续指引被截断，未采用。
Nicolas Dorier 管理员访问更新的公开嵌入副本一手来源完整帖子报告管理员登录及似乎涉及 2.4.2 以前版本，入口仍未知。
Nicolas Dorier 后续帖的公开嵌入副本一手来源承诺详细博客，呼吁频繁更新并限制热钱包余额；未提供主机清理流程。
BTCPay Server 官方发行页一手来源列出现有版本；10月29日发行版本本身不能证明被入侵主机已恢复安全。
BTCPay Server 关于托管商的后续帖公开嵌入副本一手来源完整帖子称部分托管商可能已自动关闭较旧实例，并感谢 LunaNode 等服务商。
Nicolas Dorier 关于 2.4.2 以前漏洞痕迹的更新公开嵌入副本一手来源完整帖子报告存在 2.4.2 以前漏洞的利用痕迹，并承诺后续博客；未点明具体漏洞或清理流程。
Bitquery 11 月 2 日 BTCPay 原始链上调查一手来源研究估算 682 笔归集转账涉及约 163 万美元、18.38 BTC 及 3405 LTC，明确时间、链及归属限制，并提供九项地址、交易记录。不是厂商确认的最终总损失或服务器、受害者数量。
BTCPay 11 月 2 日完整事件及恢复报告一手来源补足截断原帖：8 月漏洞遭另一种方式利用；警告前已运行 2.4.2+ 的服务器未观察到影响；旧版或失陷部署须新种子、新 VM 并轮换密钥。收款地址历史不能作为已确认损失总额。
BTCPay 针对 LND 凭据风险的 8 月公告一手来源8 月 7 日公告最后更新于 11 月 2 日，确认利用，将该凭据路径限定为 LND，列出 BTCPay 2.4.2／LND 0.21.1 及凭据、API 处置；独立的 11 月报告涉及不同利用方式，仍要求更广主机重建。
VulnCheck 编写的 CVE-2026-119757 CNA 记录一手来源11 月 5 日 21:44:41 UTC 发布，列出 8 月披露日期、影响范围、已利用标记及 CVSS 3.1 9.8／4.0 9.3；未量化 11 月损失，也未独立将全部 BTC／LTC 扫款归为 LND。

清理指南

擦屁股清单

0 / 6 张纸已用

将受影响部署迁到新服务器和新钱包运行 2.4.1 及更早版本，或在 11 月 1 日警告后才从这些版本更新的用户，应在可信设备上用新种子创建钱包，将剩余热钱包资产转入，再停用旧实例并保存证据。官方 Docker 部署可在现有 btcpayserver-docker 目录运行 ./btcpay-down.sh；其他部署请联系运营者，关停会中断支付处理。即使没看到失窃或密钥保存在别处也适用；只要有失陷迹象，无论当前版本都应同样处理。新建干净 VM，从可信来源安装最新受支持版本并连接新钱包，不要整机恢复旧主机。若托管商已停机，联系其协助。不要复用旧种子。
保留证据及钱包记录文档说明关停会移除服务栈容器。如能立即获取，可在关停前用 docker-compose -f "$BTCPAY_DOCKER_COMPOSE" logs --timestamps 保存日志；不要为排查日志收集问题延误遏制。重建前保留部署及版本信息、钱包地址和可疑交易哈希。不要在支持工单中公开助记词、私钥或访问令牌。
更换旧服务器可访问的全部凭据从可信设备吊销并替换适用的托管、SSH、应用、API 和 Lightning 凭据，以及暴露的密码和访问密钥。不要在旧机器输入替代凭据。仅更新不能清除既有访问，也不能保护已复制的钱包种子。使用支付密钥不存于服务器的钱包，减少热钱包余额；这不免除旧服务器重建要求。拒绝陌生退款链接及索要钱包秘密的联系。
核实版本历史并向项目报告失窃登录后在页面底部查看版本；停机实例使用保留记录。检查留存的管理员登录和钱包交易记录。项目未观察到 11 月 1 日警告时已运行 2.4.2 或更高版本的服务器受本轮攻击影响；新机器仍应安装最新受支持版，不要只停在旧修复下限。向 security@btcpayserver.org 发送版本和更新历史、含时区的发现时间及公开交易 ID／地址，去除秘密信息；资金失窃也须向当地执法机构报案。
将留存交易与公开追踪记录核对Bitquery 列出的 BTC 归集地址为 bc1p0f7wmcnesrapznymf9ljdn04pudgmh96sqtrm9vmgqxdh666fh8qvn63r7，LTC 归集地址为 ltc1qp49tmfdueyaqrmgrx0uyx4uegyygt8yt02whee，关联 BTC 钱包为 bc1qqjynymlsxuanp5tavacqjz6588pt0n9nh6aru5，转出接收地址为 bc1qn3fze9w3c0m38y84v76qr2z5dz9cjx0hz4aeva 和 bc1q8hyw6c47t4cskvn655csdc8ym7wc7tcnj6ws4j，较早启用的后续接收地址为 bc1qxy6r4hznukvwkavz7aq9rnresr53trx6zn644k。交易引用为 870ec7afc3792dc02e81718e8fbaaad7ccdfdc77dbd89f45523393427703b82c，7a81bddd918af1fb49b323f56820491e9e4147355adca9a1a4418c9ec1bb1b1d 和 8e25f0a572f562dd12514607eac4687408af09df8ccacd41e9acc66cea54ec11。第二个钱包的关联基于行为分析，置信度为中高，未获独立标签确认。这些是研究方赋予的角色，不能证明后续接收地址由谁控制。单独命中不能证明自己的实例失陷；保留交易及服务器证据供调查。
核实 LND 凭据及独立暴露路径新编号对应的 8 月公告最低修复为 BTCPay 2.4.2，随附 LND 0.21.1 并重新生成 macaroon。标准部署从 Server Settings → Maintenance → Update 更新，再核实页脚及 LND 版本；使用当前受支持版本，不把 8 月下限当成最新版。检查未授权 LND 支付、通道关闭、陌生节点及余额。对自建反向代理、Tor 或端口转发路径轮换 macaroon；应用更新不会关闭这些路径。8 月 Docker 更新暂时移除公共 LND API，可能影响 Zeus 等外部钱包。旧版或失陷主机仍按上方 11 月指引使用新 VM 和新种子，不能因 8 月仅限 LND 就缩小后续恢复要求。