"自建收款服务器比放平台安全"，只在服务器里不放私钥的时候才成立。
11 月 2 日早上（东八区），开源比特币收款工具 BTCPay Server 官方紧急发帖：收到报告，部分运营者服务器上的热钱包被未授权的攻击者扫空，所有实例先执行 ./btcpay-down.sh 关机，等调查结果。核心开发者 Nicolas Dorier 随后补充：官方跑 2.4.7 的公共服务器没被攻击，受害报告集中在 2.4.2 之前的版本；攻击者是以管理员身份登录了这些实例，怎么登进去的还在查，看起来不像新漏洞。他的原话是：热钱包里别放超过你能承受损失的钱。
工程师视角：
· 热钱包就是私钥以可用形式放在这台联网服务器上，好让它自动付款、退款；
· 这时后台管理员账号和私钥是一回事，攻击面从"偷私钥"变成了"登后台"，弱密码、没 2FA、旧版本里的老洞都算；
· 只配 xpub 的只收款模式，服务器上根本没有私钥，后台被攻破也只能看账，扫不走钱。
运营者五条：
1）还在跑旧版的先关机，升级到最新版再开；
2）换管理员密码、开 2FA，翻登录记录里不认识的会话和新增的管理员；
3）收款能只用 xpub 就只用 xpub，私钥留在硬件钱包；
4）必须开热钱包的，只放丢了也认的额度，按天扫回冷钱包；
5）等官方根因报告出来，再决定热钱包要不要重新打开。
我家保险柜钥匙从不挂在前台，前台只负责收快递和收情书😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE
11 月 2 日早上（东八区），开源比特币收款工具 BTCPay Server 官方紧急发帖：收到报告，部分运营者服务器上的热钱包被未授权的攻击者扫空，所有实例先执行 ./btcpay-down.sh 关机，等调查结果。核心开发者 Nicolas Dorier 随后补充：官方跑 2.4.7 的公共服务器没被攻击，受害报告集中在 2.4.2 之前的版本；攻击者是以管理员身份登录了这些实例，怎么登进去的还在查，看起来不像新漏洞。他的原话是：热钱包里别放超过你能承受损失的钱。
工程师视角：
· 热钱包就是私钥以可用形式放在这台联网服务器上，好让它自动付款、退款；
· 这时后台管理员账号和私钥是一回事，攻击面从"偷私钥"变成了"登后台"，弱密码、没 2FA、旧版本里的老洞都算；
· 只配 xpub 的只收款模式，服务器上根本没有私钥，后台被攻破也只能看账，扫不走钱。
运营者五条：
1）还在跑旧版的先关机，升级到最新版再开；
2）换管理员密码、开 2FA，翻登录记录里不认识的会话和新增的管理员；
3）收款能只用 xpub 就只用 xpub，私钥留在硬件钱包；
4）必须开热钱包的，只放丢了也认的额度，按天扫回冷钱包；
5）等官方根因报告出来，再决定热钱包要不要重新打开。
我家保险柜钥匙从不挂在前台，前台只负责收快递和收情书😏
#链上安全 #钱包安全 #BTC
$BNB $KOGE