ビットコイン決済ソフトでハッキング被害の報告、旧版の脆弱性に痕跡

ビットコイン（BTC）BTCなどの暗号資産（仮想通貨）で決済を受け付けるオープンソースのソフトBTCPay Serverは2日7時25分（日本時間）、サーバー上のホットウォレットの資金が権限のない攻撃者に抜き取られているとの報告を受けているとXで公表した。サーバーを運用している人に、調査が終わるまで停止するよう求めた。

BTCPay Server、ホットウォレットの被害報告で停止を要請

BTCPay Serverは、店舗や事業者が自分のサーバーに導入して運用するソフトだ。停止には、同ソフトの停止用のコマンド（btcpay-down.sh）を使うよう案内している。

同ソフトの説明書によると、ホットウォレットとして作ったウォレットは、サーバーに保存したシード（ウォレットの復元に使う情報）で取引に自動で署名する。説明書は、この機能にはセキュリティ上の影響があるとして、保護に関する説明を読むよう求めている。公式の投稿は、資金が抜き取られた手口には触れていない。

同ソフトの主要開発者ニコラ・ドリエ氏は2日9時6分（日本時間）、公式の投稿を引用し、自分たちの公開サーバーは攻撃を受けていないとXで説明した。これらのサーバーは最新版の2.4.7で動いているという。

ドリエ氏は、被害が報告されたのは2.4.2より前の版のサーバーのようだとしている。当初は2.4.2の版としていたが、9時28分に投稿を直した。

攻撃者はそれらのサーバーに管理者としてログインできており、どのように入り込んだかはまだ調べている。

ドリエ氏は10時52分（日本時間）、2.4.2より前の版にあった脆弱性が使われた痕跡があるとXで述べ、詳しくはブログで説明するとした。どの脆弱性かは示していない。

2日11時（日本時間）時点で、被害額や被害を受けたサーバーの数、修正版の予定は示されておらず、公式アカウントもドリエ氏の投稿を共有したものの、独自の続報はない。

BTCPay Server、8月の脆弱性はLNDが対象

BTCPay Serverでは8月、脆弱性が悪用され、利用者の資金が盗まれた。

8月7日付の勧告によると、2.4.2より前のすべての版（2.4.2のリリース候補版を含む）に、ログインしていない外部の攻撃者がライトニングネットワークのノードソフトLNDの認証情報を取り出せる欠陥があった。資金が危険にさらされるのは、LNDを使うサーバーに限られるという。

このときの勧告は、BTCPay Serverのオンチェーンのウォレットはホットウォレットを含めて影響を受けないとしていた。LND自身のオンチェーンのウォレットにある資金は、なお危険がありうるとした。

当初は念のためBTCPay Serverのオンチェーンのウォレットから資金を移すよう呼びかけたが、確認の結果、影響はLNDに限られたと説明している。

2.4.2では8月、LNDの欠陥のほか、二要素認証（TOTP）を回避できる問題も直していた。ドリエ氏は、今回使われたのがどの脆弱性かを明らかにしていない。

8月10日に公表した事案の報告で、BTCPay Serverはできる限り資金をコールドストレージで保管し、日々の運用でホットウォレットが必要な場合は、余った資金を定期的にコールドストレージへ移すよう勧めていた。

BTCPay Server、10月末に2.4.7の緊急更新

BTCPay Serverは10月29日22時48分（日本時間）、Anthropic（アンソロピック）のオープンソース向けの脆弱性スキャナーで見つかった問題を直す2.4.7をGitHubで公開した。30日0時57分にはXで緊急の更新だとして、できるだけ早く更新するよう呼びかけた。

2.4.7の更新内容によると、スキャンで指摘されたセキュリティ上の問題85件を直した。スキャンの報告での深刻度は、最も高い「Critical」が1件、「High」が13件だった。

ドリエ氏は別の利用者への返信で、今回は新しい脆弱性ではないようだとし、失っても構わない額を超えてホットウォレットに置かないよう呼びかけた。

関連：ビットコインウォレットElectrumに脆弱性、すでに悪用され資金流出も