BTCPay Serverにセキュリティ脆弱性が発見されホットウォレットが盗難されたため、公式は旧バージョンのユーザーにサーバーの停止と移行を緊急に推奨

BlockBeatsのニュースによると、11月5日、オープンソースのビットコイン決済処理ツールであるBTCPay Serverは11月1日、プラットフォーム上のビットコインおよびライトコインのホットウォレットが不正に資金を盗まれているとの複数の報告を受けた。11月2日、プロジェクトチームは調査の更新情報を発表し、攻撃がBTCPay Server 2.4.1バージョン（2026年7月23日リリース）またはそれ以前のバージョンを実行しているサーバーを対象としており、攻撃者が8月7日にリリースされた2.4.2バージョンで修正済みの脆弱性を悪用したことを確認した。

調査によると、攻撃者はさまざまな方法でこの旧バージョンの脆弱性を悪用し、サーバーの管理者権限を取得することに成功し、ホットウォレットの資金を空にした。異常を発見した後、BTCPay Serverは11月1日に緊急警報を発令し、すべてのインスタンス運営者に対して調査に協力するため一時的にサーバーを停止するよう推奨した。創設者のNicolas Dorier氏はその後、2.4.2以前のバージョン（特に2.4.1）を実行しているサーバーのみが影響を受けており、最新バージョン2.4.7を実行しているユーザーには信頼できる損失報告が出ていないことを確認した。LunaNodeなど一部の影響を受けたサービスプロバイダーは、被害の拡大を防ぐためリスクのある旧バージョンのインスタンスを自動的に停止した。

この事件に対して、公式は明確な復旧ガイドラインを示した。ソフトウェアのバージョンを更新するだけではリスクを排除するには不十分である。なぜなら、攻撃者がすでに旧サーバー上で永続的なアクセス権を取得している可能性があるからだ。公式は、2.4.1またはそれ以前のバージョンをまだ使用しているすべてのユーザー（11月1日の警告後にアップグレードしたユーザーを含む）に対して、直ちに以下の措置を取ることを強く推奨している。まず、旧ホットウォレットに残っている資金を、まったく新しいニーモニックで作成した新しいウォレットに移すこと。次に、旧サーバーをオフラインにし、調査のために関連ログを保持すること。最後に、まったく新しい仮想マシンに最新バージョンをインストールし、新しいウォレットに接続すること。旧サーバーを丸ごと新しいマシンに復元してはならない。

注目すべきは、サーバーの外部に保管されている資金（ハードウェアウォレットなど）は今回の事件の影響を受けておらず、公式は依然として加盟店にこのより安全な資金受け取り方法を採用するよう推奨している。今回の脆弱性は今年8月に修正された脆弱性に関連しており、当時攻撃者はLND（ライトニングネットワークデーモン）の管理資格情報を取得してノードを操作していた。この脆弱性は影響が深刻であるものの、これまでのところCVE番号は割り当てられておらず、CISAの既知の悪用された脆弱性カタログにも含まれていない。