$Bitcoinの支払いサーバーを運営している場合、この文で読み取りをやめ、サーバーを停止してください。最も広く使用されているセルフホスト型Bitcoin支払いプロセッサであるBTCPay Serverは、古いインストールでのホットウォレットが資金を引き出されていることを確認し、調査が完了するまですべての運用者にインスタンスをオフラインにするよう要請しました。
BTCPay Serverには何が起きたのですか？
11月1日（土曜日）の夜、BTCPay Serverチームは緊急アラートを投稿しました。BTCPayインスタンスに接続されたホットウォレットが不正な攻撃者によって空にされているという報告が寄せられているとのことです。指示は明確でした。./btcpay-down.shスクリプトでサーバーをシャットダウンし、待機してください。
日曜日までに、インシデント対応チームは攻撃経路を特定しました。プロジェクトによると、影響を受けたインストールは2026年7月23日にリリースされたバージョン2.4.1、またはそれより古いバージョンを実行しています。現在のバージョン2.4.7では、ウォレットが空にされたという信頼できる報告は一切ありません。
共同創設者のニコラ・ドリエは、攻撃者が影響を受けたインスタンスに管理者権限でログインしたという懸念される詳細を追加した。そのアクセスがどのように得られたかはまだ不明である。2.4.7を実行しているプロジェクト自身のパブリックサーバーは被害を受けなかった。
BTCPayのハッキングで何ビットコインが盗まれましたか？
まだ誰もわかっておらず、BTCPay Serverは数値を発表していません。チームは、どの程度のサーバーが侵害されたか、またはどの程度の運用者が損失を報告したかを明かしていません。影響を受けたユーザーには、セキュリティチームに事象の詳細とサーバーログを送信するよう求められており、調査によって被害の規模を特定します。
ホスティングプロバイダーは迅速に対応しました。LunaNodeなどは、古いインスタンスを自動的にシャットダウンし始めたため、週末に突然BTCPayダッシュボードが表示されなくなった場合、それが理由かもしれません。
これは8月のBTCPayの脆弱性と同じですか？
正確ではありませんが、そのパターンはよく知られています。8月、BTCPay Serverは、攻撃者がLNDの管理者資格情報を取得し、接続されたLightningウォレットにアクセスできる脆弱性が悪用されていることを警告しました。このバグは2.4.2で修正され、プロジェクトは回復した資金の10％を報奨金として提供し、上限を3 BTCと定めました。
8月の脆弱性は、オンチェーンのホットウォレットには影響しませんでした。今回の脆弱性は影響します。これは、Core Lightningが攻撃者が古く、パッチが適用されていないLightningノードを狙っていると警告してから6週間後の出来事です。3か月以内に発生した3つの別々の事例からのメッセージは同じです：更新されていないBitcoin支払いインフラは、積極的にスキャンされ、攻撃されています。
BTCPay Serverの運用者は今すぐ何をすべきですか？
- BTCPay Serverが安全であると確認するまで、最新バージョンを使用していてもインスタンスをシャットダウンしてください。プロジェクトでは2.4.7は影響を受けないとされていますが、管理者ログインの根本原因は不明です。
- ホットウォレットの残高を確認し、残っている分はコールドストレージに移動してください。BTCPayは長年にわたり、ホットウォレットには運用に必要な最低限の資金のみを保持することを推奨しています。
- ログを保存してください。説明のつかない取引を確認した場合、サーバーを消去しないでください。ログをBTCPayのセキュリティチームに送信してください。
- 再起動前に更新してください。インスタンスを再起動する際は、2.4.7、またはその次のパッチリリースで行ってください。
- サーバー上のすべての管理者アカウントと、パスワードを共有したすべてのサービスの認証情報を更新してください。