刷到 BTCPay / TokenPost：开源自托管收款工具 BTCPay Server 收到多起热钱包被未授权清空的报告，11/1 官方喊全员先 ./btcpay-down.sh 关停实例。

硬点：后续调查把攻击向量收窄到 2.4.1（2026-07-23）及更早；跑最新 2.4.7 的用户暂无可信被盗报告。创始人说中招实例上攻击者以管理员登录，具体怎么拿到权限还在查；损失金额/台数未披露。LunaNode 等托管商已自动关停老版本。

八月才刚因 <2.4.2 的 LND 凭证洞被扫过一轮——热钱包别放超出你能亏的钱。

#BTC #安全 #BTCPay