BTCPay Serverは、攻撃者が先週LND認証情報を盗み出し、マーチャントのライトニングウォレットを流出させた後、回収資金の10%、上限3 BTCを支払うと発表しました。

BTCPay Server — 世界中のマーチャントがサードパーティの決済プロバイダーに依存することなくBTCを受け入れるために使用する、オープンソースのセルフホスト型ビットコイン決済プロセッサー — は火曜日、先週マーチャントから盗まれたビットコインの返還に向けた報奨金を資金提供することを発表しました。回収された金額の10%、最大3 BTCを提示します。現在の価格で約19万ドルに相当します。この提案は、攻撃者自身を含む、有用な情報を持つ誰にでも開かれています。プロジェクトはセキュリティ用のメールアドレスに連絡するよう求め、要請に応じて安全な通信チャネルが利用可能であると述べています。

複数の通報が回収に貢献した場合、報奨金は各当事者が失った金額と各情報が有用であった程度に応じて、通報者と被害者の間で分配されます。

盗難は、攻撃者がLND — Lightning Networkノードを実行するために最も広く使用されているソフトウェア — の認証情報を取得し、それに接続されたウォレットを流出させることを可能にする脆弱性に起因していました。Lightning Networkはビットコインの主要なレイヤー2スケーリングソリューションであり、マーチャントが日常取引で利用するオフチェーンの決済チャネルを通じて、ほぼ瞬時かつ低コストの取引を可能にします。ハードウェアウォレットメーカーのFoundationとビットコインメディアのCitadel21はいずれも資金の喪失を公に報告しました。現時点で、BTCPayおよび被害者は損失総額を公表していません。

この脆弱性は、今月ビットコインのコードベースにAIモデルを向け始めたボランティアのBitcoin Red Teamに関連する研究者によって特定されました。同グループは数百のプロジェクトにわたって数千件のバグ報告を提出しており、この欠陥のパッチにつながった発見も含まれています。この出来事は、AI支援によるコードレビューがビットコイン決済インフラ全体で実際に悪用された重大な脆弱性を発見した、最初の記録された事例の一つとなります。BTCPayは問題を発見した研究者に報酬を支払うことを確認し、開発者のCraig RawとBitcoin Red Teamファンドにそれぞれ0.21 BTCを寄付しました。

We're donating 0.21 BTC to @craigraw and 0.21 BTC to the Bitcoin Red Team for their responsible security disclosure of the recent critical vulnerability. In addition, friends and supporters of the BTCPay Server project have committed to funding a bounty to recover the stolen… pic.twitter.com/qhs8zwoCvM
— BTCPay Server (@BtcpayServer) August 10, 2026

別の投稿で、BTCPayは、取引所、ブロックチェーン分析企業、法執行機関すべてが盗難資金の追跡に協力を申し出たと述べました。プロジェクトは、影響を受けたマーチャントに対し、現地の警察および資金の追跡先となるあらゆるサービスに被害を届け出るよう求めました。またBTCPayは、マーチャントに対し保有資産の大部分をコールドストレージに保管し、定期的に余剰資金をホットウォレットから移動させるよう助言しました。「特にこの急速なAI主導の変化の時期には」。

出典：CoinDesk