攻撃者が旧バージョンのBTCPay Serverの管理者権限を取得し、ホットウォレットから資金を引き出す事案が発生した。痕跡は8月のパッチ以前の脆弱性に起因する可能性を示唆している。
被害はアップデートを実施しなかった運用者に発生している。チームは総被害額をまだ公表していない。BTCPay Serverは、事業者が自ら運用することでビットコイン決済を受け付けられる、無料かつオープンソースの決済処理ソフト。ホットウォレット構成では、サーバー自身が秘密鍵を保管する仕様のため、運用者が毎回署名せずに送金できる。したがって、管理者権限さえ得れば、誰でもサーバー内の資金を動かせる仕組みだ。
攻撃者の標的となったバージョンはどれか
BTCPay Serverチームは、11月1日深夜に最初の注意喚起を出し、すべての運用者に調査終了までインスタンスの停止を呼びかけた。
続く発表で影響範囲が特定された。攻撃経路の対象は2026年7月23日リリースのバージョン2.4.1およびそれ以前と説明されている。一方、現行のバージョン2.4.7で資金流出の報告は現時点で確認されていないとチームは述べる。
📢 Our incident response investigation identified an attack vector targeting instances running versions 2.4.1 (Jul 23, 2026) or older.
— BTCPay Server (@BtcpayServer) November 2, 2026
We have no credible reports of hot wallet drains for users running the latest 2.4.7 release. We again urge everyone to keep their BTCPay Server… pic.twitter.com/gYxK4Bb7fc
創業者ニコラス・ドリエ氏は、攻撃者が影響を受けたサーバーで管理者としてログインしたと説明したが、侵入方法はまだ解明されていない。現時点の調査では、バージョン2.4.2以前から存在する脆弱性の痕跡が特定されている。
この侵害は、過去3か月以内に2回目となる旧バージョン（2.4.2以前）のBTCPay Serverからの資金流出である。8月にリリースされた同バージョンは、リモートの攻撃者によるLightningノード認証情報の窃取と接続ウォレットの資金流出を可能にした重大な脆弱性を修正していた。
ただし、その時点ですでに同バグは積極的に悪用されていた。
BTCPay Serverのホットウォレット運用は得策か
ホスティング事業者も迅速に対応している。LunaNodeなどは、古いバージョンへの攻撃を防ぐため、対象インスタンスを自動でシャットダウンした可能性があるとチームは話す。
ドリエ氏自身もバージョン2.4.7のホットウォレットを運用しているが、それでも大きな金額をサーバーに置かないよう警鐘を鳴らしている。
ホットウォレットに失っても構わない額以上の資金は入れないでほしい。今回のような事象が再発しない保証はない。
ニコラス・ドリエ氏 X
本件はビットコインの自主管理インフラ一帯で頻発する傾向の一つである。Core Lightningも最近、パッチ未適用ノードを狙う攻撃者への警戒を発していた。いずれも、対応する修正はすでに存在していたにもかかわらず、サーバーを一度設置した後に更新を怠っていた運用者が最大の弱点になっていた。
jp.beincrypto.com でPhil Haunhorstによるオリジナル記事 BTCPayサーバーの安全性 ホットウォレット流出調査の結果 を読む