企業がBitcoin決済を受け付けるために利用する無料のオープンソースソフトウェア、BTCPay Serverは、同プラットフォームを稼働するサーバーに接続されたホットウォレットが攻撃者によって空けられているという報告を受け、日曜日に運営者へインスタンスの停止を呼びかけた。

プロジェクトはその後、攻撃がバージョン2.4.1以前を稼働するインスタンスを標的としたものであり、最新リリースの2.4.7を使用しているユーザーからはホットウォレット流出の信頼できる報告は受けていないと明らかにした。

この警告は11月1日午後5時25分(東部標準時)にXへ投稿された:

🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.

If you're running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.

— BTCPay Server (@BtcpayServer) 2026年11月1日

警告文中のコマンド ./btcpay-down.sh は、稼働中のBTCPayインスタンスを停止させるもの。約2時間後、BTCPayの創業者Nicolas Dorier氏は、報告された被害はバージョン2.4.2より古いリリースに関連しているとみられること、また攻撃者は管理者権限で被害サーバーにログインしていたことを述べた。

日曜日のその後、プロジェクトはXへのフォローアップ投稿で、調査により7月23日にリリースされたバージョン2.4.1以前を稼働するインスタンスを標的とする攻撃経路を特定したと発表した。同プロジェクトは「最新の2.4.7リリースを稼働しているユーザーからのホットウォレット流出について、信頼できる報告は受けていません」と述べ、全ユーザーにソフトウェアの更新を呼びかけるとともに、被害を受けたユーザーには詳細とログをセキュリティチームへ送付するよう要請した。

プロジェクトによると、LunaNodeを含む一部のホスティング事業者は、旧バージョンが悪用されるのを防ぐため、BTCPayインスタンスを自動的に停止させている。BTCPayは被害を受けたサーバーの数や盗まれたBitcoinの額を明らかにしていない。事件の全容は依然として不明である。プロジェクトの最初の警告は停止勧告を調査の完了と結び付けていたため、被害を受けた運営者はインスタンスを再稼働させる前に調査結果を待つ状況となっていた。

ホットウォレットとBTCPayの緊急アップデート

BTCPayはセルフホスティング型のため、各加盟店が自身のサーバー上でソフトウェアを稼働しており、ネットワーク全体のインスタンスを停止できる中央運営者は存在しない。この分散型の仕組みでは、各サーバー管理者がアップデートを適用して初めてネットワークに反映されるため、パッチ適用も個々の運営者に委ねられている。加盟店はホットウォレットの運用を選択できるが、これはウォレットのシードをインターネットに接続されたサーバー上に保存し、取引へ自動的に署名できるようにするものである。スイープ——プロジェクトの警告で言及された手法——は、ウォレットの残高全額を攻撃者が管理するアドレスへ送金する行為を指す。対照的にコールドウォレットは署名鍵をオフラインで保管し、取引へ自動的に署名することはできない。BTCPay自身のドキュメントは、ホットウォレット機能を「DANGER(危険)」と位置付け、「セキュリティ上の影響を伴う」と警告している。

今回の攻撃は、BTCPayが木曜日にバージョン2.4.7を緊急アップデートとしてリリースしてから数日後に発生した。このアップデートは、重大な脆弱性1件と中程度の深刻度の複数の脆弱性を修正するもので、Anthropicのフロンティア・オープンソースソフトウェアスキャナーを通じて同プロジェクトに報告された。攻撃者がこれらの脆弱性を悪用したかどうかについては、プロジェクトは言及していない。

今年に入ってから同プロジェクトにとってのセキュリティ不安はこれが初めてではない。8月、BTCPayは2.4.2以前の全バージョンに存在する重大な脆弱性が実際に悪用されていると警告し、ユーザーにアップデートかサーバー停止を呼びかけた。その後、プロジェクトの支援者たちは、被害者が取り戻した盗難資金の10%を報酬とする回復賞金を資金提供した。報酬額は3BTCを上限としている。