自托管的支付处理器 BTCPay Server 发出了一条相当罕见的警告：在收到多起未经授权的攻击者从热钱包中抽走资金的报告后，官方直接建议运营者先把服务器关掉。注意，是“关掉”，不是“升级一下再看看”。这种措辞在开源项目里，基本等于拉响最高级别警报。
关键点在于“旧版本”。风险并非来自 BTCPay 本身的设计，而是那些还在跑过时软件的实例。开源软件最大的优点是人人可审计，最大的坑也在这里：代码更新了，但你那台机器上的版本没更新，漏洞就一直在那儿开着门。
对商家和自托管玩家来说，教训很直白：热钱包是用来“过手”的，不是用来“存”的。私钥在线、机器联网、软件版本落后，这三个条件凑齐，出事只是时间问题。别把收款地址里的余额当成储蓄账户。
另外提醒一句，如果你自己或你认识的店主在跑 BTCPay Server，现在该做的就是先确认版本，按官方指引处理，必要时先停机。别抱着“我量小没人盯上”的侥幸，攻击者扫的是版本指纹，不是你的身家。
以上内容不构成投资建议。