オープンソースのセルフホスト型Bitcoin決済プロセッサーであるBTCPay Serverは、攻撃者が重大な脆弱性を悪用して認証情報を取得し資金を移動させた後、Lightning Network Daemon（LND）ソフトウェアを実行するLightning Networkノードへのパブリックリモート接続を一時的に制限しました。

この制限により、Zeusなどの外部ウォレットは、Dockerデプロイメント上のBTCPay ServerドメインまたはTor onionアドレスを経由した接続ができなくなります。Lightning支払いは引き続き正常に機能しており、BTCPayはリスクが十分に軽減されたと判断した時点でリモートアクセスオプションを復元する計画であると述べています。

今回の事件は、広く使用されているBitcoin製品に関連する一連のセキュリティ侵害の最新事例であり、Coldcardハードウェアウォレットの欠陥が1億ドル以上の確認済み損失に関連した直後に発生しました。いずれの事案もBitcoinネットワークの基盤プロトコルの脆弱性ではなく、Bitcoin周辺のソフトウェアとインフラに関わるものでした。この違いは、Lightning対応サービス、ウォレット統合、セルフホスト型ノードデプロイメントという成長するエコシステムが、Bitcoinのベースレイヤーを超えて攻撃対象を拡大していることを浮き彫りにしています。

脆弱性と認証情報の自動ローテーション

BTCPayは、この脆弱性により、認証なしのリモート攻撃者がLND（Lightning Networkの主要な実装）を制御するために使用される「macaroon」認証情報ファイルを取得できたと説明しました。これらの認証情報が露出することで、攻撃者はLNDノードの制御を掌握し、資金を移動させる可能性がありました。

BTCPayの公式セキュリティアドバイザリによると、バージョン2.4.2はLNDバージョン0.21.1をインストールし、標準的なBTCPayインストール環境でmacaroon認証情報を自動的に再生成します。

プロジェクトはすべての運用者に対し、不正な支払い、予期しないチャネルのクローズ、未知のピア、自身の記録とオンチェーンまたはLightning残高の間の不一致など、侵害の兆候がないか確認するよう求めました。

独自のリバースプロキシ、Torサービス、ポートフォワーディング、またはBTCPay以外のルートを通じてLNDを公開している運用者は、認証情報を個別にローテーションする必要があります。BTCPayの更新をインストールするだけでは、運用者が独自に管理するアクセスルートは閉じられないとプロジェクトは指摘しました。

運用者による損失報告

少なくとも2人の運用者が、このエクスプロイトによる損失を公に報告しました。

ハードウェアウォレットメーカーFoundationのCEOであるZach Herbertは、同社のLightningノードが一晩で資金を奪われたと明らかにしました。彼はその後、ホットウォレットは影響を受けていないものの、Lightningチャネルがクローズされ資金が引き出されたと clarified しました。

Bitcoin出版物のCitadel21も、同社のLightningノードが引き出されたと別途報告しました。いずれの運用者も具体的な損失額は明らかにしていません。

関連：Coldcardエクスプロイトが7月の損失を2億4,700万ドルに押し上げ、2026年で2番目に悪い月に