Eine Untersuchung zur Reaktion auf einen Sicherheitsvorfall identifizierte einen Angriffsvektor, der auf BTCPay-Server-Instanzen mit Version 2.4.1 oder älter abzielt. Version 2.4.1 wurde am 23. Juli 2026 veröffentlicht. Laut Odaily erklärte das Projektteam, es habe keine glaubwürdigen Meldungen über den Diebstahl von Hot-Wallets von Nutzern erhalten, die die neueste Version 2.4.7 verwenden. Das Team riet den Nutzern, BTCPay Server stets auf dem neuesten Stand zu halten, und bat betroffene Nutzer, Einzelheiten und Protokolle an security@btcpayserver.org zu senden.