一、事情經過（官方版本）

2026 年 8 月 11 日，VPN 業者 IVPN 在官方部落格貼出〈我們比特幣付款伺服器的一起資安事件〉。

官方摘要是這樣寫的：8 月 7 日，他們自架用來收比特幣的開源軟體 BTCPay Server 被公開一個重大漏洞；這個漏洞在被公開前就已經遭到利用，他們是被打中的商家之一。攻擊者取走了他們 Lightning 節點的憑證，把營運資金轉走。

同時官方明確列出「沒有發生的事」：沒有客戶資料被存取、沒有客戶的錢損失、使用者不需要做任何事。Lightning 付款從 8 月 7 日到 10 日無法使用，之後恢復。

被轉走的金額，官方寫得很具體：分兩筆交易、合計 0.6168 BTC，是他們自己的營運餘額。

二、為什麼要看一則「不是針對你」的資安事件

因為這則公告回答了一個一般人買 VPN 時永遠問不到答案的問題：這家公司出事的時候，會怎麼跟你講？

官方在文章開頭就寫了動機：「我們公布這件事，是因為當處理你付款的基礎設施出問題時，不論有沒有直接影響到你，你都有權知道。」 對照組，是那些出事後只發一句「我們非常重視使用者的隱私與安全」的公司。

三、他們為什麼自己架，而不是外包

這段是整篇最值得一般人讀的。

官方說，多數接受比特幣的公司都用第三方支付處理商：對方架節點、處理付款、把錢轉給商家，省事又不用維護。

IVPN 不這樣做，理由是：那等於讓一個第三方看見每一筆付給他們的款項——金額、時間，以及隨之而來的網路層後設資料。官方的原話大意是，那會變成「一家你從沒選擇要往來的公司，握有你付款給我們的紀錄」。所以他們自架 BTCPay Server，中間沒有別人。

然後官方把代價也寫出來：自架就代表軟體出重大漏洞時，是你自己暴露在裡面。用託管式處理商的商家這次沒事，因為節點不是他們跑的、金鑰也不在他們手上。官方的結論是：「我們仍然認為值得，但這次事件就是那個代價的樣子。」

四、最有爭議的一段：沒有紀錄，所以查不出來

調查時他們遇到一個問題：無法確定攻擊者到底發了哪些請求，因為那台伺服器上沒有、也從來沒有 HTTP 請求紀錄。

官方說 BTCPay 的 Docker 部署預設就關閉請求紀錄，而他們一直維持這樣，因為他們不記錄客戶的請求；而且他們選擇不改：「在一台剛剛證明自己可能被入侵的伺服器上開啟紀錄，等於是在蒐集誰在什麼時候付錢給我們的資料。存在的紀錄就會被偷走。」

官方承認這有實際代價（無法完整重建攻擊者做了什麼），但也給出另一面：攻擊者帶走的只有比特幣，因為那台伺服器上根本不存在「誰付錢給我們」的紀錄可以偷。

這是一個很少被公開討論的權衡：「無日誌」不是只在行銷頁上好看，它在自己出事時也會反咬你一口。

五、事後他們改了什麼

官方列的補救措施，翻成白話：

1. 不修、直接重建。 舊節點銷毀，用新的種子建立新節點，讓被偷走的憑證永久失效。
2. 關掉不必要的門。 對外的 Lightning API 端點關閉；BTCPay 預設啟用、同樣有節點完整控制權的第二個網頁介面，整個停用。
3. 降低「萬一再被打中」的損失。 節點現在只留數百美元等級的小額營運餘額，超過的部分在數小時內自動掃進硬體錢包。官方說：同樣一次攻擊在今天只會造成當時損失的一小部分。
4. 不再仰賴別人通知。 他們替 Lightning 節點加上自己的告警，餘額或通道有異常變動就發警報——因為這次兩筆盜領都發生在官方公告之前。

六、對消費者的三個結論

一、匿名付款不是零風險，只是風險換了位置。 用加密貨幣付款避開了「信用卡公司知道你買了 VPN」，但你付款進入的是業者自架的系統，而它有自己的漏洞。

二、影響到你的時候，能不能補救才是重點。 官方寫了一句很實在的話：如果你的訂閱因為那段期間無法完成 Lightning 付款而過期，聯絡客服就會幫你延長。

三、看業者的資安公告，看三件事：有沒有講金額、有沒有講時間軸、有沒有講自己哪裡做錯。 這則公告三樣都有，包括自承「我們是在 BTCPay 公布時才知道被入侵，不是在它發生時」。反過來說，一份只有「我們已修復相關問題」的公告，其實什麼都沒告訴你。

實查：2026-09-11

資料來源：

• IVPN 官方部落格〈A security incident on our Bitcoin payment server〉2026-08-11：https://www.ivpn.net/blog/security-incident-bitcoin-payment-server/

本文只整理業者公開公告與其對消費者的影響，不提供任何規避地區限制或封鎖的操作教學，也不構成任何投資或加密貨幣建議。使用網路服務請遵守當地法令與各服務條款。