📡 Signal｜BTCPay Server、ホットウォレット流出の報告で運用者に停止を要請

ビットコイン決済のサーバーを自前で動かすオープンソースソフト BTCPay Server の開発チームは、米国時間11月1日 (日本時間2日朝)、利用者に稼働中のサーバーを止めるよう呼びかけた。各地のサーバーで、ホットウォレットの資金が第三者に抜き取られたとの報告が届いているためだ。初期報は同じ日の 速報。

停止の呼びかけは、調査が終わるまでの暫定の措置で、被害額や台数はまだ公表されていない。その後、創業者のニコラス・ドリエ氏が、報告は古い版のサーバーに集中しているとの見立てを出した。

公式の呼びかけは「調査が終わるまで止める」

BTCPay Server の公式 X は日本時間2日7時25分、「BTCPay Server 上のホットウォレットが、権限のない攻撃者によって引き出されているとの報告を受けている」と投稿した。運用者には、停止用のコマンド (./btcpay-down.sh) でサーバーを止め、調査の完了まで待つよう求めた。

3分後には、中心的な開発者の一人が「訓練ではない。ホットウォレットを持っているなら BTCPay Server を止めてほしい」と重ねて投稿した。呼びかけの対象は特定の版に限られておらず、ホットウォレットを置く運用者全体に向いている。

報告は2.4.2より前の版、2.4.7の公開サーバーは無傷

約3時間後の9時28分、ドリエ氏は自身の X で、開発チームが運営する公開サーバー (2.4.7で稼働) は攻撃を受けておらず、報告は2.4.2より前の版のものとみられると書いた。攻撃者はそれらのサーバーに管理者として入り込んでおり、どうやって入ったかはまだ調べていると続けた。

2.4.2は8月に出た版だ。BTCPay は8月7日、悪用が進んでいた脆弱性への対応として「2.4.2へ直ちに更新を」と勧告を出した。10日の経過報告によると、この脆弱性はサーバーにつないだ Lightning のノード (LND) の管理用の認証情報を盗み出せるもので、一部の利用者が資金を失った。今回の報告がその脆弱性と同じ経路かどうかは、まだ示されていない。

最新の2.4.7は10月29日に公開された。リリースノートによると、Anthropic のオープンソース向け脆弱性スキャンの取り組みから報告された85件 (重大1・高13・中52・低19) を修正した版で、複数の加盟店が共有するサーバーには特に更新を勧めている。

自前運用の決済が抱える「鍵の置き場所」

BTCPay Server は、決済代行の会社を通さずに、加盟店が自分のサーバーでビットコインの支払いを受けるための道具だ。手数料と仲介への依存を減らせる代わりに、更新と鍵の管理は運用者の責任になる。

ホットウォレットは、送金に使う秘密鍵をサーバーの上に置く方式で、外部の署名機器なしで自動で払い出せる。管理者の権限を奪われると、その鍵で資金を動かされる。8月の件で抜かれたのは Lightning (ビットコインの少額決済の仕組み) のノードの資金で、今回はサーバー上のホットウォレットが名指しされた。同じソフトで、狙われる場所が変わった。BTCPay は8月の経過報告の時点で、資金はできるだけコールド保管 (ネットから切り離した保管) に置き、ホットウォレットの余剰は定期的に移すよう勧めていた。

ドリエ氏の見立てどおり更新が数か月遅れたサーバーがまとめて狙われたのなら、自前運用の弱点は更新の遅れに出たことになる。停止が一時の措置で済むかは、原因の特定にかかっている。

次に見るもの

確認先は、BTCPay Server の公式 X と公式ブログに出る調査の結果だ。侵入の経路、被害を受けた版、修正版の有無の3点が出れば、運用者がサーバーを再開してよい条件が分かる。GitHub のリリースの一覧に2.4.7より新しい版が載るかも、同じ判断の材料になる。

ことば

• BTCPay Server — 加盟店が自分のサーバーでビットコインの支払いを受け付けるための無料のオープンソースソフト。決済代行の会社を介さない分、運用と更新は自分で行う。
• ホットウォレット — 秘密鍵をネットにつながった機器の上に置き、すぐに送金できるようにした財布。便利な半面、機器を乗っ取られると資金を動かされる。
• Lightning — ビットコインの上で少額の支払いを速く安く行う仕組み。利用者どうしが開く支払いの通り道に資金を預けて使う。

🔗 一次ソース

• BTCPay Server 公式 X の呼びかけ (11月1日・米国時間)
• ニコラス・ドリエ氏 (BTCPay Server 創業者) の X の投稿 (2.4.7の公開サーバーは攻撃されず)
• BTCPay Server の開発者の X の投稿 (ホットウォレットがあれば停止を)
• BTCPay Server v2.4.7 のリリースノート (GitHub・85件の修正)GitHub
• BTCPay Server 公式ブログ: Security Advisory: Update BTCPay Server to 2.4.2 Immediately (8月7日)blog.btcpayserver.org
• BTCPay Server 公式ブログ: Security Incident: Our Response and Next Steps (8月10日・LND の認証情報の流出)blog.btcpayserver.org