BTCPay Server khuyến cáo người dùng các phiên bản cũ nâng cấp sau khi một lỗ hổng bị lợi dụng để đánh cắp tiền từ ví nóng. Theo Odaily, bộ xử lý thanh toán Bitcoin mã nguồn mở này đã nhận được nhiều báo cáo vào ngày 1 tháng 11 về các giao dịch rút tiền trái phép từ ví nóng Bitcoin và Litecoin. Đến ngày 2 tháng 11, nhóm dự án cho biết các cuộc tấn công nhắm vào những máy chủ chạy phiên bản 2.4.1 trở xuống.

Lỗ hổng đã được khắc phục trong phiên bản 2.4.2 vào ngày 7 tháng 8. Nhà sáng lập BTCPay Server, Nicolas Dorier, cho biết các máy chủ chạy phiên bản cũ hơn 2.4.2, đặc biệt là phiên bản 2.4.1, đã bị ảnh hưởng; không có báo cáo đáng tin cậy nào về tổn thất từ người dùng chạy phiên bản mới nhất, 2.4.7. Một số nhà cung cấp dịch vụ, bao gồm LunaNode, đã tự động tắt các phiên bản cũ có nguy cơ.

Dự án khuyến cáo người dùng phiên bản 2.4.1 trở xuống chuyển số tiền còn lại từ các ví nóng cũ sang ví mới được tạo bằng cụm từ khôi phục mới, đưa các máy chủ cũ ngoại tuyến và lưu giữ các nhật ký liên quan. Sau đó, người dùng nên cài đặt phiên bản mới nhất trên một máy ảo mới và kết nối các ví mới, thay vì khôi phục toàn bộ máy chủ cũ. Chỉ cập nhật phần mềm có thể không loại bỏ được rủi ro vì những kẻ tấn công có thể vẫn giữ quyền truy cập vào các máy chủ cũ. Số tiền được lưu trữ bên ngoài máy chủ, bao gồm cả trong ví phần cứng, không bị ảnh hưởng.

Lỗ hổng này có liên quan đến một lỗ hổng đã được khắc phục vào tháng 8, khi những kẻ tấn công sử dụng thông tin đăng nhập quản trị LND để kiểm soát các nút. Lỗ hổng chưa được gán mã CVE và không có trong danh mục Lỗ hổng đã biết bị khai thác của CISA.