旧バージョンで資金流出が発覚、開発チームが緊急対応
オープンソースのビットコイン決済プラットフォームBTCPay Serverで、旧バージョンを使用するホットウォレットからビットコインとライトコインが盗まれる事件が発生した。開発チームは緊急停止を呼びかけ、攻撃経路の調査を進めている。
🚨 We are receiving reports of hot wallets on BTCPay Servers being swept by unauthorized attackers. If you’re running an instance, please shut it down (./btcpay-down.sh) until we complete the investigation.
— BTCPay Server (@BtcpayServer) November 1, 2026
BTCPay Server上のホットウォレットが不正な攻撃者によってスイープされているという報告を受けています。
インスタンスを実行している場合、調査が完了するまでシャットダウンしてください
2026年11月1日（日曜日）、BTCPay Serverは加盟店のホットウォレットから資金が盗み出されていることを受け、サーバー運営者に緊急停止を呼びかけた。ホスティングプロバイダーにも、予防措置としてインスタンスをオフラインにするよう求めた。
その後の調査で、攻撃者がバージョン2.4.1以前のシステムに管理者としてログインしていたことが判明した。創設者のニコラス・ドリエ（Nicolas Dorier）氏によると、攻撃者がどのように管理者権限を取得したのかについては、引き続き調査が行われている。
今回の被害は、資金移動に必要な秘密鍵をサーバー上に保存するホットウォレットで発生した。一方、ハードウェアウォレットなど、秘密鍵をサーバーとは別の場所で管理するウォレットの資金は影響を受けていない。
10月29日に公開された最新バージョン2.4.7についても、ホットウォレットからの資金流出を示す信頼できる報告は確認されていない。被害を受けた加盟店の数や盗まれた資金の総額は、現時点で明らかになっていない。
8月に修正された脆弱性との関係を調査、ウォレット再構築を勧告
同プラットフォームでは8月にも、攻撃者がLightning Network Daemon（ライトニング・ネットワーク・デーモン）の認証情報を盗み出し、ライトニングネットワークの資金を移動できる脆弱性が発覚していた。
この問題は8月7日に公開されたバージョン2.4.2で修正され、当時はオンチェーンのホットウォレットへの影響はないと説明されていた。しかし、今回の事件では旧バージョンのホットウォレットからも資金が流出している。8月の認証情報に関する脆弱性が悪用されたのか、別の脆弱性が利用されたのかは明らかになっていない。
開発チームは、今回の攻撃前に修正プログラムを適用していたユーザーは影響を受けていないとみている。一方、脆弱性のある旧バージョンを使用していたユーザーや、警告後にアップデートしたユーザーには、サーバーの再構築と新しいウォレットへの資金移動を勧告した。
BTCPay Serverは各加盟店が独自にサーバーを運用する自己ホスト型のソフトウェアである。開発側はユーザーの利用状況を追跡できないため、被害規模の把握は難しい状況だ。
