BTCPay Server、ホットウォレット不正流出の報告受けサーバー停止を要請 ビットコイン決済ソフト、原因と被害規模は調査中

ホットウォレットの不正流出報告

ビットコイン（BTC）の決済処理ソフト「BTCPay Server」の開発チームは2日、同ソフトを導入したサーバーでホットウォレットの資金が第三者に不正に抜き取られているとの報告を受けていると公式Xで明らかにした。運営者に対し、調査が完了するまでサーバーを停止するよう求めている。

投稿によると、開発チームは「インスタンスを運用している場合は、調査が完了するまで停止してほしい」とし、停止用コマンド「./btcpay-down.sh」の実行を促した。被害額や影響を受けたサーバー数、原因は示していない。停止の要請は特定のバージョンに限っておらず、修正版の公開も発表されていない。

BTCPay Serverは、加盟店が決済代行業者を介さずにビットコイン決済を受け付けるためのオープンソースソフトウェア。各事業者が自前のサーバーで運用する方式のため、開発チームが修正を一括で適用することはできず、停止や更新は運営者ごとの対応になる。

ホットウォレットは、秘密鍵をインターネットに接続されたサーバー上に置くウォレットを指す。返金などの送金を自動で処理できる反面、サーバーが侵害されると資金が直接狙われる。BTCPayの同機能は、サーバー上に保存したシードで取引に署名する仕組みだ。

10月末に緊急版、8月はLND経由で流出

開発チームは10月29日、重大な脆弱性1件と中程度の脆弱性複数件を修正する緊急版2.4.7を公開したばかりだった。今回の攻撃との関係については明らかにしていない。

8月には、BTCPay Server 2.4.2より前の版にあった脆弱性が悪用され、ライトニング決済ノード用ソフトLNDの認証情報が盗まれた結果、BTCPayに接続されたライトニングノードから資金が流出した。当時、開発チームはこの脆弱性について、BTCPay内で作成したホットウォレットを含むオンチェーンウォレットは影響を受けないと説明していた。今回報告されているのは、その対象外とされた種類のウォレットにあたる。