古いBTCPay Serverインスタンスがホットウォレット攻撃の被害に

更新が不十分なBTCPay Server環境への不正アクセスにより、ホットウォレットからの資金流出が発生しました。脆弱性は8月のアップデート以前から存在していたことを示す証拠があります。

パッチを適用しなかった事業者が主な被害を被りましたが、具体的な損失額はチームによって確認されていません。オープンソースのセルフホスト型Bitcoin決済プロセッサであるBTCPay Serverは、取引ごとの手動署名の必要性を排除するために、秘密鍵を保持するホットウォレットに依存しています。その結果、サーバー上の管理ユーザーは誰でもコインの転送を開始できます。

どのBTCPay Serverバージョンが影響を受けたのか？

BTCPay Serverチームは11月1日遅くに警告を発し、調査が終了するまで全事業者にインスタンスをオフラインにするよう勧告しました。

チームからのその後のメッセージで、対象が絞り込まれました。この脆弱性は、2026年7月23日にリリースされたバージョン2.4.1と、それ以前のすべてのバージョンに特に影響します。現時点では、最新の2.4.7アップデートを実行しているシステムから資金が流出したという確認された事例はないとチームは述べています。

📢 当社のインシデントレスポンス調査により、バージョン2.4.1（2026年7月23日）以前を実行しているインスタンスを標的とした攻撃ベクトルが特定されました。

最新の2.4.7リリースを実行しているユーザーからのホットウォレット流出に関する信頼できる報告はありません。改めて、全員にBTCPay Serverを最新の状態に保つようお願いします…

— BTCPay Server (@BtcpayServer) 2026年11月2日

BTCPay Serverの創業者であるNicolas Dorier氏は、侵入者が侵害されたサーバーへの管理者アクセスを取得したと述べ、侵入方法はまだ特定されていないと述べました。調査員は現在までに、2.4.2リリース以前から存在していたセキュリティギャップの証拠を発見しています。

このインシデントは、古いBTCPay Serverバージョン（2.4.2以前）から資金が盗まれた、3ヶ月間で少なくとも2件目の事例です。2.4.2アップデートは8月に、侵入者がリモートでLightningノードの認証情報を取得し、リンクされたウォレットを空にすることを可能にする深刻な脆弱性を修正しました。

パッチがリリースされた時点で、この脆弱性はすでに活発に悪用されていました。

BTCPay Serverのホットウォレットはどの程度危険なのか？

ホスティングプロバイダーも同様の対応を取りました。チームの報告によると、LunaNodeや同様のホストは、攻撃を阻止するために、古いバージョンを実行している顧客のインスタンスを自動的に停止した可能性があります。

Dorier氏自身は、ホットウォレットと組み合わせて2.4.7リリースを運用しています。それでもなお、創業者はどのサーバーにも多額の資金を保持しないよう助言しました。

ホットウォレットには、失っても構わない額以上の資金を入れないでください。今後も発生しないとは保証できません。

Nicolas Dorier, X

この侵害は、セルフホスト型のBitcoinシステムで観察されるより広範な傾向と一致しています。例えば、Core Lightningは最近、パッチ未適用のノードが攻撃者によって積極的に探し回られていると警告しました。どちらのシナリオでも、必要なセキュリティアップデートは盗難発生以前に利用可能であり、サーバーをセットアップしたまま、その後のパッチを適用しない事業者の脆弱性を浮き彫りにしています。