热钱包遭窃：Btcpay 旧版本漏洞引紧急关机

据 Woofun AI 消息，2026 年 11 月 1 日，比特币支付处理平台 突发安全危机，创始人尼古拉斯·多里尔证实热钱包遭窃并触发紧急关机机制。此次事件并非源于最新补丁，而是指向早期版本遗留的系统性缺陷，迫使全球自托管商家在调查期间全面暂停服务，以阻断攻击者对链上资产的进一步侵蚀。

警报于美国东部时间晚上 10:00（世界协调时间大约 22:25）正式拉响，Btcpay 官方账号发布紧急通知，确认服务器上的热钱包正遭受未经授权的资金窃取。开发者被指令立即执行./btcpay-down.sh 命令关闭服务器，核心贡献者 强调"这不是演习"，要求所有存在热钱包的节点即刻离线。

事发时，比特币价格报 78,427 美元（上涨 0.98%），以太坊价格报 2,293 美元（上涨 1.25%），市场表面平稳，但底层支付基础设施却面临严峻考验。文章作者杰米·雷德曼指出，尽管 Btcpay 作为开源软件赋予商家脱离传统中介的自主权，但这种去中心化架构也意味着安全责任完全由用户自行承担。截至目前，被盗比特币的具体数量及受影响商家总数尚未披露，攻击者初始入侵路径亦成谜团，这种信息真空加剧了社区的焦虑情绪，使得每一次资金划转都成为潜在的风险敞口。

随着调查深入，技术归因逐渐清晰。尼古拉斯·多里尔的初步分析锁定问题根源在于 2.4.2 版本之前的软件代码，法医证据显示攻击者通过旧版本漏洞获取了管理员权限。值得注意的是，运行 2.4.7 版本的公共服务器和演示服务器均未受波及，这一事实直接排除了最新紧急版本导致安全问题的猜测，反而凸显了版本迭代滞后带来的巨大隐患。回顾 8 月份，该项目曾修复过一个允许未经身份验证的攻击者获取 （）macaroon 凭证的漏洞，该凭证等同于授权 token，已在 2.4.2 版本中修补。

当时开发者宣称 Btcpay 自身的链上钱包未暴露于风险中，但此次事件表明，旧版本漏洞的利用窗口可能比预期更宽，或者存在其他未被识别的攻击向量。目前尚无法确定此次盗窃是复用了 8 月份的漏洞、触发了另一个旧漏洞，还是多种漏洞组合的结果，这种不确定性使得全面排查变得异常复杂，任何未更新至 2.4.2 及以上版本的节点都可能处于危险之中。

Woofun AI 整理数据显示，此次安全危机发生在一次由人工智能驱动的大规模安全升级之后仅三天，时间上的巧合引发了行业对 AI 辅助安全效能的深层反思。10 月 29 日，Btcpay 发布了 2.4.7 版本，该版本解决了通过 开源安全扫描计划发现的 85 个安全问题，其中包括 1 个严重级漏洞、13 个高严重级漏洞、52 个中严重级漏洞以及 19 个低严重级漏洞。

这一成果得益于 Anthropic、OpenAI 和谷歌等 AI 巨头在软件缺陷识别能力的显著提升。仅 Anthropic 的扫描计划在六个月内就发现了超过 29,000 个潜在安全漏洞，尽管其中仅部分接受了人工审查。

然而，Btcpay 事件揭示了一个关键悖论：AI 能高效发现漏洞，但无法强制第三方运营者更新软件。发现漏洞与保护已部署软件之间存在巨大的执行鸿沟，仅仅发布修复补丁并不能自动消除那些仍运行在旧版本服务器上的风险，这种"发现-修复-部署"链条中的断裂，成为了当前 Web3 基础设施安全的阿喀琉斯之踵。