---
title: "BTCPay Server"
aliases: ["BTCPay", "BTCPay 서버"]
type: 프로덕트
url: https://wiki.tokenpost.kr/w/btcpay-server
canonical: https://wiki.tokenpost.kr/w/btcpay-server
language: ko
publisher: "토큰포스트"
citation: "토큰포스트 위키, “BTCPay Server”, 2026-11-05 수정, https://wiki.tokenpost.kr/w/btcpay-server"
updated: 2026-11-05T02:37:31.368+00:00
created: 2026-09-13T18:36:33.094025+00:00
status: reviewed
---

# BTCPay Server

BTCPay Server는 자체 호스팅 방식으로 비트코인 결제를 처리하는 오픈 소스 결제 서버 소프트웨어다. 2026년 11월 1일 여러 서버의 핫월렛 탈취 보고를 알리고 운영자에게 서버 중단을 권고했다.

**다른 이름**: BTCPay · BTCPay 서버

**분류**: 프로덕트

## 1. 주요 동향

[이 문단의 원문](https://wiki.tokenpost.kr/w/btcpay-server#section-developments)

#### 2026년 11월 핫월렛 탈취 경보
BTCPay Server 프로젝트는 2026년 11월 1일 X에서 여러 서버의 핫월렛이 무단 공격자에게 털렸다는 보고를 받았다고 알렸다. 운영자에게는 `./btcpay-down.sh`로 서버를 내리고 조사가 끝날 때까지 꺼 두라고 권고했다. 더디파이언트에 따르면 경보는 영향받는 버전을 특정하지 않았고 패치도 발표하지 않았다.

원인, 피해 서버 수, 피해액은 공개되지 않았다. 프로젝트는 이번 공격이 10월 29일 수정한 취약점과 관련이 있는지도 밝히지 않았다. 2026년 11월 2일 오전(한국시간) 현재 조사 결과나 해제 공지는 확인되지 않았다.

#### 2026년 10월 긴급 수정
프로젝트는 2026년 10월 29일 2.4.7을 내놓았다. 릴리스 노트는 외부 스캐너 보고서에서 나온 보안 결함 85건(치명 1, 높음 13, 중간 52, 낮음 19)을 고쳤다고 적었다.

#### 2026년 8월 LND 자격증명 취약점
위 경보와 별개의 사건이다. 프로젝트는 2026년 8월 7일 보안 공지에서 2.4.2 미만 버전의 취약점으로 인증 없는 원격 공격자가 [라이트닝](https://wiki.tokenpost.kr/w/lightning-network) 구현체 LND의 .macaroon 자격증명 파일을 얻을 수 있고, 실제 악용으로 이용자 자금이 탈취됐다고 밝혔다. LND를 쓰는 운영자에게는 2.4.2와 LND 0.21.1로 올리고 자격증명을 교체하라고 권고했다. 더디파이언트는 하드웨어 지갑 제조사 Foundation 등의 노드가 털렸다고 보도했다.

10월 30일 갱신된 이 공지는 BTCPay Server의 온체인 지갑(핫월렛 포함)은 영향이 없고, LND 자체 온체인 지갑의 자금은 위험할 수 있다고 적었다. 이 설명은 8월 취약점에 관한 것이며 11월 1일 경보 이전에 나왔다. 초기 공지는 온체인 자금을 옮기라고 안내했으나 이후 검토에서 LND만 영향을 받는 것으로 범위를 좁혔다.

BTCPay Server는 2.4.1 이하 버전 인스턴스를 겨냥한 공격 경로가 발견됐다고 밝혔으며, 2.4.1은 2026년 7월 23일 출시된 버전이다. 현재 최신 버전은 2.4.7이다.

2026년 11월 보도에서 BTCPay는 비트코인 가맹점들에 핫월렛을 교체하라고 권고했다.

2026년 11월 2일 보안 공지에서 BTCPay Server는 공격 대상이 2.4.1 및 이전 버전이라고 밝혔으며, 경고 시점에 2.4.2 이상 서버에서는 공격 영향이 확인되지 않았다고 설명했다.[^1][^2][^3][^4][^5][^6][^7][^8][^9]

## 2. 연표

- **2026.09** (출시) BTCPay Server 2.4.4는 새 LND 지갑마다 무작위 비밀번호를 생성하고 과거 공용 기본 비밀번호를 시작 과정에서 변경하도록 했다.[^10]
- **2026.09** (사건) BTCPay 2.4.4 업데이트…외부 공개 LND API 봇 탐색[^10]
- **2026.10** (출시) BTCPay Server 2.4.5는 라이트닝 연결·LNURL 요청·인보이스 알림 주소·웹훅의 사설 네트워크 요청을 기본 차단하고, 초과 결제분 환불 승인 권한을 강화했다.[^11]
- **2026.11** (사건) 8월 7일 공지에서 BTCPay Server는 2.4.2 이전 버전의 취약점이 실제 공격에 악용돼 이용자 자금 탈취가 발생했다고 밝혔다. 10월 30일 갱신 공지에서는 자사 온체인 지갑과 핫월렛은 이 취약점의 영향을[^12]
- **2026.11** (사건) BTC페이 서버 취약점 악용 확인…자체 온체인 핫월렛은 영향 없어[^12]
- **2026.11** (사건) BTCPay Server는 X 게시물에서 여러 인스턴스의 핫월렛이 미승인 공격자에 의해 비워졌다는 보고를 받았다고 알리고, 조사 완료 때까지 운영자에게 서버 중단을 권고했다.[^13]
- **2026.11** (사건) 핫월렛 무단 출금 신고 뒤 운영자들에게 조사 완료 때까지 서버 중단이 권고됐다. 창립자는 신고 사례가 2.4.2 이전 버전과 관련된 것으로 보인다고 밝혔다.[^14]
- **2026.11** (사건) 핫월렛 탈취 신고에 BTCPay Server 운영자 서버 중단 요청[^14]
- **2026.11** (사건) 2026년 10월 29일 공개된 2.4.7 버전은 스캐너 보고서 기준 발견 항목 85건을 수정했다. 프로젝트는 2026년 11월 2일 공개한 사고 공지에서 공격 대상이 2.4.1 이하 서버였으며, 2.4.2에서 수정[^15]
- **2026.11** (사건) 2026년 11월 1일, BTCPay Server는 2.4.1 이하 버전 서버의 비트코인·라이트코인 핫월렛에서 자금 도난 신고를 받았다고 밝혔다. 공지에 따르면 8월 7일 2.4.2에서 수정된 취약점이 다른 방식으로[^16]

## 각주

[^1]: [LND 인증정보 취약점 악용…BTCPay 서버 2.4.2 업데이트 권고](https://www.tokenpost.kr/news/cryptocurrency/431042) — 토큰포스트 · 2026-11-01T23:10:03+00:00 · [기사 썸네일](https://f1.tokenpost.kr/2026/11/18i7gjma2n_th_1600x900.webp)
[^2]: [BTCPay Server 2.4.1 이하 버전 공격 경로 발견…업데이트 촉구](https://www.tokenpost.kr/news/cryptocurrency/431263) — 토큰포스트 · 2026-11-02T09:47:27+00:00 · [기사 썸네일](https://f1.tokenpost.kr/2026/11/ts7qrx842m_th_1600x900.webp)
[^3]: [비트코인 가맹점 핫월렛서 160만달러 탈취 추정…지갑 교체 권고](https://www.tokenpost.kr/news/cryptocurrency/431906) — 토큰포스트 · 2026-11-03T09:25:37+00:00 · [기사 썸네일](https://f1.tokenpost.kr/2026/11/li89gwzd4z_th_1600x900.webp)
[^4]: [163만달러(약 21억9천만원) 추적…결제 서버 해킹 총 피해액과는 달라](https://www.tokenpost.kr/news/cryptocurrency/432085) — 토큰포스트 · 2026-11-03T15:01:48+00:00 · [기사 썸네일](https://f1.tokenpost.kr/2026/11/niz94dwt7m_th_1600x900.webp)
[^5]: [BTCPay Server tells operators to shut down after reports of hot wallets being drained](https://investinglive.com/cryptocurrency/btcpay-server-tells-operators-to-shut-down-after-reports-of-hot-wallets-being-drained/) — investingLive · 2026-11-01
[^6]: [BTCPay Server Urges Shutdown After Reports of Hot-Wallet Sweeps](https://thedefiant.io/news/hacks/btcpay-server-urges-shutdown-after-reports-of-hot-wallet-sweeps) — 더디파이언트
[^7]: [BTCPay Server Releases](https://github.com/btcpayserver/btcpayserver/releases) — BTCPay Server GitHub
[^8]: [Security Advisory: Update BTCPay Server to 2.4.2 Immediately](https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/) — BTCPay Server · 2026-08-07
[^9]: [Lightning Nodes Drained As BTCPay Server Users Race To Patch](https://thedefiant.io/news/hacks/btcpay-server-tells-operators-to-update-or-shut-down-over-actively-exploited-flaw) — 더디파이언트
[^10]: [https://www.tokenpost.kr/news/cryptocurrency/407282](https://www.tokenpost.kr/news/cryptocurrency/407282)
[^11]: [https://www.tokenpost.kr/news/cryptocurrency/419030](https://www.tokenpost.kr/news/cryptocurrency/419030) · [기사 썸네일](https://www.tokenpost.kr/uploads/2026/10/y6eykm4pm0.jpg)
[^12]: [https://www.tokenpost.kr/news/cryptocurrency/431038](https://www.tokenpost.kr/news/cryptocurrency/431038) · [기사 썸네일](https://f1.tokenpost.kr/2026/11/fqqs46e32i_th_1600x900.webp)
[^13]: [https://www.tokenpost.kr/news/cryptocurrency/431045](https://www.tokenpost.kr/news/cryptocurrency/431045) · [기사 썸네일](https://f1.tokenpost.kr/2026/11/2xw92gd46m_th_1600x900.webp)
[^14]: [https://www.tokenpost.kr/news/cryptocurrency/431186](https://www.tokenpost.kr/news/cryptocurrency/431186) · [기사 썸네일](https://f1.tokenpost.kr/2026/11/pxop251qnf_th_1600x900.webp)
[^15]: [https://www.tokenpost.kr/news/cryptocurrency/432299](https://www.tokenpost.kr/news/cryptocurrency/432299) · [기사 썸네일](https://f1.tokenpost.kr/2026/11/vniv8z0j9a_th_1600x900.webp)
[^16]: [https://www.tokenpost.kr/news/cryptocurrency/433029](https://www.tokenpost.kr/news/cryptocurrency/433029) · [기사 썸네일](https://f1.tokenpost.kr/2026/11/2cownpq4p2_th_1600x900.webp)

---

인용: 토큰포스트 위키, “BTCPay Server”, 2026-11-05 수정, https://wiki.tokenpost.kr/w/btcpay-server
원문: https://wiki.tokenpost.kr/w/btcpay-server
최종 수정: 2026-11-05T02:37:31.368+00:00
발행: 토큰포스트 위키. 인용할 때 문서 제목과 원문 주소를 함께 밝혀 주세요.