BTCPay Server riet Nutzern älterer Versionen zur Migration, nachdem eine Schwachstelle ausgenutzt worden war, um Gelder aus Hot Wallets zu stehlen. Laut Odaily erhielt der quelloffene Bitcoin-Zahlungsdienstleister am 1. November mehrere Meldungen über nicht autorisierte Abhebungen aus Bitcoin- und Litecoin-Hot-Wallets. Das Projektteam erklärte am 2. November, die Angriffe hätten Server mit Version 2.4.1 oder älter zum Ziel gehabt.

Die Schwachstelle wurde am 7. August mit Version 2.4.2 behoben. BTCPay-Server-Gründer Nicolas Dorier erklärte, dass Server mit Versionen vor 2.4.2, insbesondere Version 2.4.1, betroffen waren. Es gab keine glaubwürdigen Berichte über Verluste bei Nutzern der neuesten Version 2.4.7. Einige Dienstleister, darunter LunaNode, schalteten gefährdete ältere Instanzen automatisch ab.

Das Projekt riet Nutzern mit Version 2.4.1 oder älter, die verbleibenden Gelder aus alten Hot Wallets auf neue Wallets zu übertragen, die mit neuen Wiederherstellungsphrasen erstellt wurden, die alten Server offline zu nehmen und relevante Protokolle aufzubewahren. Anschließend sollten Nutzer die neueste Version auf einer neuen virtuellen Maschine installieren und die neuen Wallets verbinden, ohne den alten Server vollständig wiederherzustellen. Ein reines Software-Update reicht möglicherweise nicht aus, um das Risiko zu beseitigen, da Angreifer möglicherweise weiterhin Zugriff auf alte Server haben. Gelder außerhalb der Server, auch in Hardware-Wallets, waren nicht betroffen.

Die Schwachstelle steht im Zusammenhang mit einer im August behobenen Sicherheitslücke, bei der Angreifer LND-Administratorzugangsdaten nutzten, um Nodes zu kontrollieren. Sie erhielt keine CVE-Nummer und ist nicht im Katalog der bekannten ausgenutzten Schwachstellen der CISA aufgeführt.