BTCPay Serverは、その決済インフラ上でホストされているホットウォレットから攻撃者がビットコインを流出させたとの報告が表面化したことを受け、緊急のセキュリティ警告を発行し、調査員が侵害の範囲を特定する間、運用者にサーバーの停止を呼び掛けました。

11月1日に公開されたこの警告は、当初すべてのインストール環境に適用されていました。その後の調査により、疑われる攻撃ベクトルはBTCPay Serverのバージョン2.4.1以前に絞られており、プロジェクト側は最新の2.4.7リリースに関連するホットウォレット窃盗の信頼できる報告は受けていないとしています。流出した総額、影響を受けた加盟店の数、サーバーを侵害した正確な手法は依然として明らかにされていません。

ウォレット流出は旧バージョンのソフトウェアに起因

インターネット接続されたウォレットからの不正出金の報告が相次いだことを受け、BTCPay Serverは運用者に対し、./btcpay-down.shコマンドを使用してインスタンスを直ちにオフラインにするよう指示しました。

このオープンソースの決済プロセッサーは、中央集権的なカストディアンに依存することなく、加盟店がビットコインおよびLightning Networkでの支払いを受け入れられるようにするものです。ただし、オプションのホットウォレット機能は署名用の認証情報をサーバー自体に保存するため、攻撃者が管理者アクセスを獲得した場合には資金が露出する可能性があります。ホットウォレットは支払いを自動処理できるよう鍵をオンラインに保ち、コールドストレージはオフラインに保ちます。このトレードオフにより、自己管理する加盟店の鍵と攻撃者の間に中介者は存在しません。

創設者のNicolas Dorier氏によると、予備調査では攻撃者が影響を受けたサーバーに管理者としてログインすることに成功していたことが示されているものの、そのアクセスを獲得した手法はまだ調査中です。侵害されたインストール環境は、BTCPay Serverが複数のセキュリティ上の弱点に対処するバージョン2.4.2を導入した2026年8月より前にリリースされたバージョンを実行していたものとみられます。

チームはその後、バージョン2.4.1以前に影響する攻撃ベクトルを特定し、最新リリースを実行している同プロジェクト自身の公開サーバーは侵害されていなかったと述べています。ただしソフトウェアは自己ホスト型であるため、パッチ適用は個々の運用者がプロジェクトの勧告に従うことに依存しており、加盟店に代わってサーバーを更新できる中央事業者は存在しません。

これらの調査結果は、BTCPay Serverが10月29日にバージョン2.4.7をリリースし、Anthropicのオープンソースセキュリティスキャンプログラムで特定された85件のセキュリティ問題に対処した数日後に発表されました。修正内容は、認証、決済処理、APIアクセスおよびその他のコンポーネントにわたる、クリティカル1件、高深刻度13件、中深刻度52件、低深刻度19件です。リリースはGitHubで入手可能であり、プロジェクトはXを通じて警告を共有しました。

最新リリースに関しては確認されたホットウォレットの損失はないものの、11月の攻撃を可能にした具体的な脆弱性はまだ特定されていません。

ビットコイン決済インフラへのセキュリティ圧力が再燃

この事件は、BTCPay ServerのLightning Network統合に関わる8月の侵害に続くものです。攻撃者は以前、LND管理者認証情報への不正アクセスを可能にする脆弱性を悪用し、接続されたLightningノードの制御や資金の送金を可能にしていました。この弱点はより広範なビットコインのセキュリティレビューで特定され、バージョン2.4.2で修正されました。この以前の事件は、BTCPay Serverの標準的なオンチェーンホットウォレットではなく、LNDに接続された資金に影響を与えました。

セキュリティ懸念は他のビットコインアプリケーションにも及んでいます。8月には、Core Lightningが開発者がセキュリティアップデートを準備する間、ノード運用者に接続解除を呼び掛けました。より最近では、攻撃者がトランザクションデータを操作してビットコインの支払いを迂回させた後、Electrumが積極的に悪用されていたウォレットの脆弱性にパッチを適用しました。

BTCPay Serverは現在、影響を受けた運用者に関連するログやインシデントの詳細の提供を呼び掛けています。ユーザーには、インストールを最新の状態に保ち、ホットウォレットに保管する資金を最小限に抑え、必要に応じて残りの資産を安全なコールドストレージに移すことが推奨されています。一部のホスティング事業者は、さらなる損失を防ぐため、脆弱なソフトウェアを実行している顧客のインスタンスを先回りして停止しています。

調査は継続中であり、確認された回収額や完全な技術的説明はまだ公表されていません。最新のソフトウェアは特定された攻撃ベクトルの影響を受けていないようですが、この事件は、特に秘密鍵がインターネット接続されたサーバー上でアクセス可能な状態にある場合における、旧バージョンの自己ホスト型決済インフラのリスクを浮き彫りにしています。今後の焦点は、プロジェクトが完全な技術的事後検証を公表するかどうか、またログの提出が進む中で何人の影響を受けた加盟店が損失を報告するかに移っています。