BTCPay这事，有人已经开始喊“又一个漏洞，BTC要去5万”了。兄弟，你先搞清楚被扫的是啥。
官方说法就一句：多个自建BTCPay实例上的热钱包被未授权转走，所有运营者立刻跑 ./btcpay-down.sh 关机，等调查结果。没给损失金额，没说根因，没说受影响版本，也没补丁。
重点是“热钱包”三个字。BTCPay热钱包等于把种子放在一台24小时在线的服务器上，方便它自己签名。谁拿到这台机器的管理权限，谁就能动钱。只放xpub的watch-only商户，服务器上根本没有能花的私钥，BTCPay Lite这种外接钱包的也说了不受影响。
所以这不是比特币出事，是一堆小商户把收银台的钱当金库放。“自托管”不等于安全，私钥挂在公网机器上，跟把钱包落在网吧没啥区别。
拿一个支付工具出事去喊BTC腰斩的，要么不懂，要么想骗你割肉。真在用BTCPay收款的：先关机，钱扫到冷钱包，以后收款走watch-only，热钱包只留找零的量。
#BTCPay #安全
官方说法就一句：多个自建BTCPay实例上的热钱包被未授权转走，所有运营者立刻跑 ./btcpay-down.sh 关机，等调查结果。没给损失金额，没说根因，没说受影响版本，也没补丁。
重点是“热钱包”三个字。BTCPay热钱包等于把种子放在一台24小时在线的服务器上，方便它自己签名。谁拿到这台机器的管理权限，谁就能动钱。只放xpub的watch-only商户，服务器上根本没有能花的私钥，BTCPay Lite这种外接钱包的也说了不受影响。
所以这不是比特币出事，是一堆小商户把收银台的钱当金库放。“自托管”不等于安全，私钥挂在公网机器上，跟把钱包落在网吧没啥区别。
拿一个支付工具出事去喊BTC腰斩的，要么不懂，要么想骗你割肉。真在用BTCPay收款的：先关机，钱扫到冷钱包，以后收款走watch-only，热钱包只留找零的量。
#BTCPay #安全