BTCPay Server、セキュリティ侵害を受け古いバージョンからの移行をユーザーに警告

Odaily星球日報によると、オープンソースのビットコイン決済処理ツール「BTCPay Server」は11月1日、プラットフォーム上のビットコインおよびライトコインのホットウォレットから不正に資金が盗まれたとの複数の報告を受けた。11月2日、プロジェクトチームは調査更新を発表し、攻撃はBTCPay Server 2.4.1版またはそれより前のバージョンを実行するサーバーを標的としていたことを確認した。攻撃者は、8月7日に2.4.2版で修正済みの脆弱性を悪用し、異なる手法でサーバーの管理者権限を取得してホットウォレットの資金を空にした。BTCPay Serverの創設者Nicolas Dorierは、2.4.2より前のバージョン、特に2.4.1版を実行するサーバーのみが影響を受けたことを確認し、最新版の2.4.7版を実行するユーザーからは信頼できる損失報告は出ていないと述べた。LunaNodeなどの一部の影響を受けたサービスプロバイダーは、リスクのある旧バージョンのインスタンスを自動的にシャットダウンした。公式は、まだ2.4.1版またはそれより前のバージョンを使用しているユーザーに対し、旧ホットウォレットに残っている資金を新しいマネーニックで作成した新しいウォレットに即座に移転し、旧サーバーをオフラインにした上で関連ログを保存した後、新しい仮想マシンに最新版をインストールして新ウォレットを接続するよう勧めている。旧サーバー全体を新機器に復元することは絶対に避けること。ソフトウェアのバージョンを更新するだけではリスクが解消されないため、攻撃者は旧サーバーに永続的なアクセス権を獲得している可能性がある。ハードウェアウォレットなどサーバー外に保管された資金は、今回の事件の影響を受けていない。この脆弱性は、今年8月に修正された脆弱性と関連しており、当時は攻撃者がLND管理資格情報を取得してノードを操作していた。これまでのところ、この脆弱性にはCVE番号が割り当てられておらず、CISAの既知の悪用脆弱性ディレクトリにも含まれていない。