BTCPay Server recomendó a los usuarios de versiones anteriores que migraran después de que se aprovechara una vulnerabilidad para robar fondos de monederos calientes. Según Odaily, el procesador de pagos de Bitcoin de código abierto recibió varios informes el 1 de noviembre sobre retiros no autorizados de monederos calientes de Bitcoin y Litecoin, y el equipo del proyecto dijo el 2 de noviembre que los ataques iban dirigidos a servidores que ejecutaban la versión 2.4.1 o anteriores.
La vulnerabilidad se corrigió en la versión 2.4.2 el 7 de agosto. El fundador de BTCPay Server, Nicolas Dorier, dijo que los servidores que ejecutaban versiones anteriores a la 2.4.2, especialmente la 2.4.1, se vieron afectados; no hubo informes creíbles de pérdidas entre los usuarios que ejecutaban la versión más reciente, la 2.4.7. Algunos proveedores de servicios, incluido LunaNode, apagaron automáticamente las instancias antiguas en riesgo.
El proyecto recomendó a los usuarios que tuvieran la versión 2.4.1 o anterior transferir los fondos restantes de las antiguas billeteras calientes a billeteras nuevas creadas con frases de recuperación nuevas, desconectar los servidores antiguos y conservar los registros pertinentes. Luego, los usuarios deberían instalar la versión más reciente en una máquina virtual nueva y conectar las billeteras nuevas, sin restaurar íntegramente el servidor antiguo. Actualizar el software por sí solo podría no eliminar el riesgo, ya que los atacantes podrían haber conservado el acceso a los servidores antiguos. Los fondos guardados fuera de los servidores, incluidos los de billeteras de hardware, no se vieron afectados.
La vulnerabilidad está relacionada con otra que se corrigió en agosto, cuando los atacantes utilizaron credenciales administrativas de LND para controlar nodos. No se le ha asignado un número CVE ni figura en el catálogo de vulnerabilidades explotadas conocidas de CISA.