攻撃者は古くなったBTCPay Serverのインスタンスに管理者アクセスを獲得し、ホットウォレットの資金をすべて持ち去りました。これらの痕跡は、8月のパッチよりも前の脆弱性に起因していることを示唆しています。
被害は更新しなかった運営者に及び、チームはまだ総損失を公表していない。BTCPay Serverは、マーチャントが自らホストしてBitcoinを受け取るために使用する無料のオープンソース決済処理システムである。ホットウォレット設定では、サーバーが独自に秘密鍵を保管し、運営者が各取引に署名しなくてもソフトウェアが資金を送金できる。その結果、そのサーバーに管理者アクセス権を持つ誰でも、そのコインを移動できる。
攻撃者はどのバージョンをターゲットにしましたか？
BTCPay Serverチームは11月1日の深夜に警報を発令し、調査が終了するまですべての運用者にインスタンスの停止を要請しました。
その後のフォローアップにより、対象範囲が絞られました。攻撃ベクトルは2026年7月23日にリリースされたバージョン2.4.1およびそれより古いバージョンを標的としています。一方、チームは現在のバージョン2.4.7に対して、資金の不正引き出しに関する信頼できる報告はないと述べています。
創設者のニコラス・ドリエ氏は、攻撃者が影響を受けたサーバーで管理者としてログインしたと述べたが、その方法についてはまだ特定されていない。これまでの調査では、バージョン2.4.2より前の脆弱性の痕跡が見つかっている。
この侵害は、3か月以内に攻撃者が2.4.2より前のバージョンを実行しているBTCPay Serverインスタンスから資金を盗んだ2回目以上である。このリリースは8月に重大な脆弱性を修正し、リモートの攻撃者がLightningノードの認証情報を取得し、関連するウォレットから資金を引き出すのを防いだ。
それでも、そのバグは既に積極的に悪用されていました。
BTCPay Serverのホットウォレットはリスクに値するか？
ホスティングプロバイダーも迅速に対応しました。チームによると、LunaNode他は、古いバージョンへの攻撃を防ぐために、顧客のインスタンスを自動的にシャットダウンした可能性があります。
ドリエはバージョン2.4.7を自身のホットウォレットで実行しています。しかし、創設者は、大額の資金をどのサーバーにも保管しないよう警告しています。
ホットウォレットに失っても構わない金額以上を預けないでください。同様の事態が再発しないとは保証できません。
ニコラス・ドリエ、X
この事件は、自己ホスト型Bitcoinインフラ全体に見られるより広範なパターンに該当します。Core Lightningは最近、攻撃者がパッチが適用されていないノードを標的とすると警告しました。どちらのケースでも、盗難が発生する前から対策は存在していました。したがって、最も弱いポイントは、BTCPay Serverインスタンスを一度インストールした後、一切更新しなかった運用者でした。
投稿 あなたのBTCPay Serverは安全ですか？ホットウォレットの不正引き出し調査から分かること は最初に BeInCrypto に掲載されました。