BTCPay Server项目方于11月1日要求运营实例的商户暂时关闭服务器，此前有报告称，攻击者正在盗转连接到相关服务器的热钱包资金。项目方随后表示，已确认攻击路径针对2.4.1及更早版本，并称目前没有可信报告显示最新2.4.7版本用户的热钱包被转空。
项目方要求所有实例暂时停机待查
BTCPay Server是一款免费开源的自托管工具，商户可用它接受比特币支付。项目方在美国东部时间11月1日17时25分表示，收到热钱包遭未经授权攻击者转移资金的报告，并要求运营实例的用户执行关闭脚本，等待调查完成。
约两小时后，BTCPay创始人Nicolas Dorier表示，相关报告似乎涉及2.4.2之前的版本，攻击者曾以管理员权限登录受影响服务器。项目方晚些时候进一步称，调查确认的攻击路径针对7月23日发布的2.4.1及更早版本。
2.4.7版本暂无可信失窃报告，部分托管商自动停机
BTCPay表示，尚未收到使用最新2.4.7版本用户出现热钱包被转空的可信报告，并敦促所有运营者及时更新软件，同时要求受影响用户向安全团队提交详细信息和日志。项目方没有披露受影响服务器数量，也没有说明被转走的比特币数量。
由于BTCPay采用自托管模式，各商户在自己的服务器上运行软件，没有中央运营方可以统一关闭实例。项目方称，包括LunaNode在内的部分托管服务商已自动关闭旧版本实例，以阻止其继续遭到利用。
热钱包存在安全风险，2.4.7修复漏洞与本次攻击关联未明，8月曾有漏洞遭利用
商户可以选择在联网服务器上运行热钱包，使钱包种子保存在服务器中并自动签署交易。BTCPay官方文档将这一功能标记为“危险”，并警告其存在安全隐患。
此次攻击报告发生在2.4.7版本发布数日后。BTCPay于10月29日发布该紧急更新，修复一个严重漏洞和多个中等严重程度漏洞，并称这些问题由Anthropic的开源软件安全扫描工具发现。不过，BTCPay尚未说明此次攻击是否利用了其中任何漏洞。
今年8月，BTCPay也曾警告2.4.2之前的所有版本存在正被主动利用的严重漏洞，并要求用户更新或关闭服务器。项目支持者后来为追回被盗资金设立恢复奖励，金额为追回资金的10%，上限为3 BTC。
