BTCPay Server、サードパーティのカストディアンに依存せずに加盟店がBitcoinを受け取れるようにするオープンソースのセルフホスト型決済処理ソフトウェアは、ユーザー資金の窃取に悪用されている重大な脆弱性に対応するため、緊急アップデートをリリースしました。

GitHub pull request #7491で詳述されている通り、この欠陥により、攻撃者はBTCPayのGreenfield API基本認証を通じてTOTPベースの2要素認証をバイパスできます。根本原因は、認証メカニズムが2要素認証が実際に有効かどうかを確認するのではなく、有効なFIDO2資格情報が登録されているかどうかのみを検証していた点にあります。その結果、TOTP認証アプリで保護されたアカウントでも、メールアドレスとパスワードのみでAPIにアクセスできてしまいました。Greenfield APIは、Eコマースプラットフォーム、POSシステム、自動化ワークフローとのプログラム的統合に使用されるBTCPayのRESTベースのインターフェースであり、API主導の設定を持つ加盟店が最も広範な露出に直面しています。

本脆弱性はBTCPayのアプリケーション層に存在し、Bitcoin（BTC）プロトコル自体には影響しません。BTCPayは8月7日にソフトウェアのバージョン2.4.2をリリースし、すべてのユーザーに対してNBXplorerもバージョン2.6.10にアップデートすることを推奨しました。

BTCPayはXアカウントを通じて本件を公に対応しました。

市場の反応は抑制的

セキュリティ懸念にもかかわらず、Bitcoinの市場価格と評価は比較的安定しています。CoinMarketCapによると、Bitcoinは約64,889ドルで取引されており、前日比0.82%の上昇、1.3兆ドルの時価総額はわずか0.79%の上昇にとどまっています。24時間の取引量は20.98%増加したものの、価格と時価総額の安定は、本件がBitcoinの全体市場評価に物質的な影響を与えていないことを示唆しています。

市場の沈静化した反応は、脆弱性の性質と合致しています。BTCPayの欠陥は個別の加盟店と運用者に影響し、Bitcoinのコンセンサスルールや暗号基盤には影響しません。ただし、影響を軽視すべきではありません。BTCPayはBitcoinネットワークとビジネス決済システムの橋渡しとして機能し、請求書の発行、決済処理、ウォレット管理を担っています。プラットフォームのノンカストディアル設計により、加盟店は秘密鍵の直接管理を維持しており、これは多くの加盟店がホスト型プロセッサーよりBTCPayを選択した主な理由です。攻撃者に運用者アカウントへのアクセスを許す認証バイパスは、そのセキュリティモデルを直接損ない、資金が第三者に保管されていない場合でも、ウォレット管理機能や決済データを露出させる可能性があります。

運用者向けの是正ガイダンス

即時の修正は簡単です。BTCPay Serverをバージョン2.4.2にアップグレードし、インテグレーターはNBXplorerをバージョン2.6.10にアップグレードしてください。BTCPayは基本認証の代わりにAPIキーの使用を推奨しています。APIキーはより細かな権限制御を可能にするためです。

パッチは認証プロセスに変更を導入し、2FAが実際にアクティブかどうかを検証するようになり、以前はTOTPで保護されたアカウントが第2認証要素をバイパスできたギャップを閉じました。BTCPayはセルフホスト型であるため、運用者は中央プロバイダーによるパッチ適用に依存できず、独自に行動を取る必要があります。これは、積極的に監視・保守されていないデプロイメントでは露出の窓が開いたままになる可能性があることも意味します。BTCPayから追加のドキュメントが提供されています。

決済インフラ脆弱性のパターン

BTCPayの発表は、Bitcoin決済インフラにとって激動の週に続くものです。以前の報道の通り、LightningウォレットプロバイダーのZEUSはセキュリティ問題により決済インフラをオフライン化し、他のLightningサービスプロバイダーも影響を受けました。

これらのインシデントは、Bitcoinコアの決済プロトコルの障害を示すものではありません。ただし、ブロックチェーン周辺に構築されたソフトウェア層によって導入されるセキュリティリスクを浮き彫りにしています。Bitcoin決済スタックを評価する加盟店にとって、これらの情報開示の反復性は、インフラの選択がパッチ追跡、アクセス監査、インシデント対応計画を含む、従来の決済ゲートウェイ管理に匹敵する継続的な運用リスクを伴うことを強調しています。

ノースイースタン大学とデルフト工科大学の研究者による2024年の研究は、形式モデリングを使用してLightningのシングルホップ決済プロトコルのセキュリティ弱点を特定し、新たに記述された「Payout Race」攻撃を含みました。別の2026年の研究はバランス発見攻撃を検証し、攻撃者がLightningチャネルの残高に関する情報を推測できることを発見しました。その提案された緩和策は、シミュレーションで情報漏洩を最大62%削減しました。

両研究はより広範な現実を強調しています。Bitcoinのセキュリティはブロックチェーン自体の枠を超えて広がります。ウォレット、API、決済プロセッサー、Lightningインフラはすべて追加の攻撃面を導入します。

BTCPayの脆弱性履歴

これはBTCPay初の重大なバグではありません。2023年1月、プロジェクトは開示を行い、BTCPayバージョン1.3.0、1.4.0、1.5.3に影響する重大な情報漏洩脆弱性CVE-2022-32984を報告しました。この欠陥は、公開されているPOSアプリケーションを通じて、外部ノードに紐づくxpubやLightning資格情報を含む機密性の高いストア詳細を露出させる可能性がありました。BTCPayはバージョン1.5.4でこの問題を解決し、研究者のAntoine Poinsotに5,000ドルの報奨金を授与しました。

2つのインシデントの違いは注目に値します。2023年の脆弱性は情報開示の問題であったのに対し、現在の欠陥はGreenfield APIを通じてTOTPセキュリティを回避する認証バイパスに関するものです。データ露出からアクティブな認証回避への進展は、Bitcoin周辺ソフトウェアで特定されている脆弱性の高度化を反映しています。

加盟店にとっての高まるリスク

決済におけるBitcoinの普及が加速するにつれ、加盟店にとってのリスクプロファイルは強まっています。Riverが2026年2月に発表した研究では、2025年の加盟店によるBitcoinの平均使用量は74%増加し、Lightningの使用量は300%急増して月間10億ドルを超えました。

周辺インフラも重要です。BuiltWithはBTCPay Serverを使用する248のWebサイトを検出しており、74のアクティブなインストールを含んでいますが、これらの数値にはプライベートまたはその他検出不可能なデプロイメントは含まれません。一方、最新の1MLスナップショットは、6,280のLightningノード、21,221のチャネル、2,818.49 BTCの総ネットワーク容量を示しています。

この規模において、Bitcoinベースレイヤーが影響を受けない場合でも、周辺インフラの脆弱性は重大な結果をもたらします。BTCPayのインシデントはBitcoin自体の欠陥を示すものではありません。むしろ、Bitcoin上に構築されたビジネスがより広範なセキュリティ負荷を引き継ぐことを示しています。ブロックチェーンは設計通りに機能し続けるかもしれませんが、加盟店が依存するアプリケーションが障害点になる可能性があります。

BTCPay運用者にとって優先事項は明確です。バージョン2.4.2にアップグレードし、侵害の兆候がないか認証ログとアクセスログを確認し、可能な限り基本認証から特定のAPIキーに切り替えることです。