BTCPay、加盟店にサーバー停止を呼びかけ：ホットウォレット流出報告、プロジェクトは攻撃対象を2.4.1以前と説明

何が起きたのか

Decryptによると、BTCPay Serverは企業がビットコイン決済を受け付けるための無料のオープンソースツールだ。プロジェクトは日曜日（11月1日）、サーバー上でこのソフトを運用する人々に対し、サーバーを停止するよう呼びかけた。これらのサーバーに接続されたホットウォレットが攻撃者に抜き取られている（資金を移されている）との報告があったためだ。

Decryptが引用したところでは、BTCPayは米東部時間午後5時25分に「We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers.」（BTCPayサーバー上のホットウォレットが無許可の攻撃者に抜き取られているとの報告を受けている、の意）と投稿した。プロジェクトは、調査が終わるまで運用中のBTCPayサーバーを停止するよう求めた（./btcpay-down.sh）。

Decryptによると、約2時間後、創設者のNicolas Dorier氏は、報告は2.4.2より前の古いバージョンに関係しているようで、攻撃者は管理者権限で影響を受けたサーバーにログインしていたと述べた。

プロジェクトの現時点の説明と不明点

Decryptによると、プロジェクトはその後、調査で2.4.1（7月23日公開）以前を狙った攻撃経路を特定したと説明し、最新の2.4.7を使うユーザーのホットウォレットが抜き取られたという「信頼できる報告はない」とした。また、全員にソフトを最新に保つよう促し、影響を受けたユーザーには詳細とログ（システムの動作記録）をセキュリティチームに送るよう求めた。

Decryptによると、BTCPayは木曜日に緊急アップデートとして2.4.7を公開し、重大な脆弱性1件と中程度の脆弱性数件を修正した。プロジェクトはこれらの脆弱性がAnthropicのオープンソースソフトウェアスキャナーを通じて把握されたと説明している。今回の攻撃がこれらの脆弱性を悪用したかどうかについては、BTCPayはまだ説明していない。

Decryptによると、BTCPayは影響を受けたサーバーの数も、持ち出されたビットコインの額もまだ明らかにしていない。

なぜホットウォレットは特に敏感なのか

Decryptによると、BTCPayはセルフホスト型のソフトウェアで、各加盟店が自分のサーバーで運用している。すべてを一括で停止できる中央の運営者は存在しないため、各運用者やそのホスティング事業者が個別に対応する必要がある。

Decryptによると、加盟店はホットウォレットを選択でき、ウォレットのシード（ソフトがウォレットに代わって取引を承認するための機密データ）をネットに接続されたサーバー上に置くことで、取引を自動署名、つまり自動承認できる。BTCPay自身のドキュメントはこの機能に「DANGER」（危険）と表示し、「comes with security implications」（セキュリティ上の影響を伴う）と警告している。

Decryptによると、このプロジェクトに今年セキュリティ上の警告が出たのは初めてではない。8月にBTCPayは、2.4.2より前のすべてのバージョンに積極的に悪用されている深刻な脆弱性があると警告し、ユーザーに更新またはサーバー停止を促した。プロジェクトの支持者はその後、盗まれた資金の返還に対し10%（上限3 BTC）を支払う回収報奨金に資金を提供した。

誰に影響があるのか

Decryptによると、狙われたのは運用者のサーバーに接続されたホットウォレットで、同報道は一般の支払者の資金が影響を受けたとは述べていない。

このトピックの最新ニュースを見る

• 暗号資産・ブロックチェーン