BTCPay Server menyarankan pengguna versi lama untuk bermigrasi setelah sebuah kerentanan dimanfaatkan untuk mencuri dana dari dompet hot. Menurut Odaily, pemroses pembayaran Bitcoin sumber terbuka tersebut menerima beberapa laporan pada 1 November tentang penarikan tanpa izin dari dompet hot Bitcoin dan Litecoin, dan tim proyek menyatakan pada 2 November bahwa serangan menargetkan server yang menjalankan versi 2.4.1 atau lebih lama.

Kerentanan tersebut diperbaiki pada versi 2.4.2 tanggal 7 Agustus. Pendiri BTCPay Server, Nicolas Dorier, mengatakan bahwa server yang menjalankan versi sebelum 2.4.2, khususnya 2.4.1, terdampak; tidak ada laporan kerugian yang kredibel dari pengguna versi terbaru, yaitu 2.4.7. Beberapa penyedia layanan, termasuk LunaNode, secara otomatis mematikan instans lama yang berisiko.

Proyek tersebut menyarankan pengguna versi 2.4.1 atau yang lebih lama untuk memindahkan sisa dana dari hot wallet lama ke wallet baru yang dibuat dengan frasa pemulihan baru, menonaktifkan server lama, dan menyimpan log yang relevan. Pengguna kemudian harus memasang versi terbaru di mesin virtual baru dan menghubungkan wallet baru, tanpa memulihkan seluruh server lama. Memperbarui perangkat lunak saja mungkin tidak menghilangkan risiko karena penyerang mungkin masih memiliki akses ke server lama. Dana yang disimpan di luar server, termasuk di hardware wallet, tidak terdampak.

Kerentanan ini berkaitan dengan kerentanan yang diperbaiki pada bulan Agustus, ketika penyerang menggunakan kredensial administratif LND untuk mengendalikan node. Kerentanan ini belum diberi nomor CVE dan tidak tercantum dalam katalog Kerentanan yang Diketahui Dieksploitasi milik CISA.