第三者の決済処理業者を介さずに加盟店がビットコイン決済を直接受け付けられるオープンソースソフトウェア、BTCPay Serverは金曜日、2026年8月7日、攻撃者が実際に悪用している重大な脆弱性を公表する緊急の警告を発した。プロジェクト側は管理者に対し、この脆弱性が資金流出につながりうるとし、通常のパッチサイクルではなく即時の対応を求めた。
Decryptの報道によれば、BTCPayは今回の公表において、脆弱性の具体的な仕組み、攻撃が始まった時期、侵害を受けたサーバーの数、実際に資金が盗まれたかどうかといった詳細の多くを伏せている。これは、まだこの不具合を見つけていない攻撃者にヒントを与えないための、活発に悪用中の脆弱性を公表する際によく取られるトレードオフだ。
管理者に求められている対応
BTCPayの案内は、セキュリティ勧告としては異例なほど踏み込んだ内容になっている。管理者はバージョン2.4.2への即時アップデートと、サーバーのフッターに新しいバージョン番号が表示されていることの確認を求められている。すぐにアップデートできない場合は、脆弱なまま公開し続けるのではなく、サーバーを完全に停止することが推奨されている。パッチ適用に加えて、BTCPayは運用者に対し、macaroon認証情報の入れ替えとmacaroons.dbファイルの再作成、Lightning Networkバックエンド向け認証文字列の更新、そしてBTCPay内で生成されたホットなオンチェーンウォレットからの資金の退避と、そのウォレット自体をゼロから再作成することも求めている。
関連記事: Coldcardハッキング被害、最大1億3,000万ドルに拡大か ギャラクシー・リサーチ試算
ビットコインのハードウェア・インフラを揺るがす一連の出来事の最新例
今回の脆弱性はBitcoin Red Teamのメンバーによって最初に発見されたもので、自己管理型セキュリティの失敗が相次ぐ中で表面化した。わずか数日前には、Coinkite社のColdcardハードウェアウォレットに2021年3月から存在していた5年越しのファームウェアのバグ——専用のハードウェア乱数生成チップを使わず、予測可能なソフトウェアによる代替処理にフォールバックしていたことに起因する——が悪用され、攻撃者が5,200個のアドレスから1,816BTCを流出させる事件が起きたばかりだ。そのうち1,082.65BTC(当時のレートで約7,020万ドル相当)は、7月30日のわずか41分間で1,196個のアドレスから抜き取られている。これとは別に、Boltzも「AIによって加速された攻撃」と説明する事案を受けサービスを停止している。
看過できないパターン
Coinkiteは、Coldcardの被害者支援を行っているとしながらも補償は提示しておらず、BTCPayの勧告も、影響を受けた加盟店が救済されるかどうかについては今のところ何も示していない。カストディアルリスクの排除を売りにしている決済スタックにとって、サーバーソフトウェア自体への活発な悪用は、このモデル全体がまさに避けようとしていた事態そのものだ。BTCPayの対応が、侵害を受けたことの確認を待つのではなく、侵害されたものと見なしてすべてをローテーションするよう運用者に強く促す内容に大きく傾いているのは、そのためだろう。
