BTCPay Server поздно вечером 1 ноября попросила операторов отключить свои серверы после сообщений о том, что злоумышленники опустошают подключённые к ним hot-wallet. К 04:07 UTC 2 ноября команда сузила предполагаемый вектор до версии 2.4.1 от 23 июля и более старых выпусков; достоверных сообщений о таких кражах на актуальной версии 2.4.7 у проекта нет. Это инцидент платёжного ПО на отдельных серверах, а не взлом блокчейна Bitcoin.

Hot-wallet хранит ключи на постоянно подключённом сервере и может сам подписывать исходящие переводы — например, возвраты покупателям. Основатель проекта Николя Дорье сообщил, что на затронутые установки входили с правами администратора, но способ получения доступа пока не установлен. Поэтому связь со старыми версиями ещё не называет конкретную уязвимость, а отсутствие известных краж на 2.4.7 не равнозначно доказательству полной безопасности.

Дорье опубликовал адреса Bitcoin и Litecoin, которые он связал с атакующим. По срезу публичных блокчейнов около 04:55 UTC биткоин-адрес получил 18,76 BTC в 528 транзакциях, а Litecoin-адрес — примерно 3 383 LTC. Это входящий оборот названных адресов, а не подтверждённая сумма кражи: BTCPay Server не раскрыла число пострадавших установок и итоговый ущерб.

В августе версия 2.4.2 закрыла уже эксплуатировавшуюся ошибку, позволявшую похищать административные данные LND и управлять Lightning-узлом; тогда команда отдельно подчёркивала, что обычные on-chain hot-wallet BTCPay не затронуты. Сейчас непосредственный объект кражи другой, хотя Дорье говорит о следах уязвимостей, существовавших до 2.4.2. Выпущенная 29 октября версия 2.4.7 исправила 85 находок безопасности, но проект не называл её специальным патчем этого инцидента. Полный технический разбор ещё не опубликован.