BTCPay Serverの運営者、ホットウォレットの盗難を受けてインスタンスのシャットダウン指示

サーバーからホットウォレットの資金が流出したとの複数の報告を受け、オープンソースの Bitcoin 決済プラットフォーム BTCPay Server は運営者に対しインスタンスを無効化するよう指示した。

X への投稿で、プロジェクトはインスタンスを実行している人に対し、調査が続く間、シャットダウンコマンドを使用してオフラインにするよう要請した。BTCPay は攻撃の原因、影響を受けたサーバーの数、盗まれた金額をまだ明らかにしていない。

ホットウォレットとは、秘密鍵がインターネットに接続されたサーバーに保存されているウォレットで、返金などの自動送金を可能にする。この利便性により、オフラインストレージと比較してより大きな標的となる。今回のインシデントは、Bitcoin 自体のネットワークではなく、Bitcoin を中心に構築されたソフトウェアに関するものである。

今回の警告は、プロジェクトにおける過去2件のセキュリティインシデントに続くものである。10月29日、BTCPay は緊急アップデートであるバージョン 2.4.7 をリリースし、一件の重大な脆弱性と複数の中程度のリスクの脆弱性を修正した。8月には、攻撃者が別の欠陥を悪用して Lightning Network の認証情報を盗み、BTCPay の背後で動作しているノード（ハードウェアウォレットメーカー Foundation が運用するノードを含む）の資金を流出させた。その際、BTCPay は、ソフトウェア内で生成されたホットウォレットを含む標準のオンチェーンウォレットは侵害されていないと述べた。

したがって、新しい報告は、8月の脆弱性の対象となっていなかったウォレットタイプが関係している点で注目に値する。BTCPay は、これらの攻撃が先週修正された欠陥に関連するかどうかについては述べていない。

注目すべき重要な動向

重要な疑問点としては、BTCPay が攻撃を特定のソフトウェアバージョンと関連付けるかどうか、そして10月29日のアップデートを実行したサーバーが影響を受けたかどうかが挙げられる。損失額と名前の挙がった業者からの報告が問題の規模を示すだろう。8月、BTCPay は最初の警告の後で範囲を大幅に絞り込んだため、最初の警告は最終的な状況を反映していない可能性がある。BTCPay が安全宣言を出すまで、BTCPay のホットウォレットに資金を保有する運営者は、そのシャットダウンアドバイスに従うべきである。