BTCPay Server、旧バージョンに攻撃経路 ホットウォレットから資金流出の報告

ビットコイン決済プラットフォームのBTCPay Serverで、旧バージョンを利用するユーザーのホットウォレットから資金が流出する被害が報告された。

BTCPay Serverは月曜日、調査の結果、2026年7月23日に公開されたバージョン2.4.1以前のソフトウェアを稼働させているサーバーに攻撃経路が存在することを確認したと発表した。

一方、最新版のバージョン2.4.7を利用しているユーザーについては、ホットウォレットから資金が流出したという信頼できる報告は確認されていないという。

開発チームは、サーバー運営者に対してソフトウェアを最新版に更新するよう呼びかけている。

今回の発表に先立ち、BTCPayは不正なウォレット出金の報告を受け、調査を進める間、サーバーの稼働を停止するよう警告していた。サーバーを停止するための手順も公開している。

被害規模や攻撃手法は明らかにせず

BTCPayは現時点で、影響を受けたサーバー運営者の数や盗まれた資金の総額、攻撃者がウォレットにアクセスした技術的な手法について明らかにしていない。

被害に遭った可能性のあるユーザーには、情報やログをセキュリティチームに提出するよう求めている。

コインテレグラフはBTCPay Serverにコメントを求めたが、記事公開までに回答は得られなかった。

今回の資金流出報告は、BTCPayが8月の攻撃を受けてリモートからのライトニング接続を制限してから、3カ月もたたないうちに浮上したものだ。

8月の攻撃では、脆弱性を悪用してライトニングネットワークデーモン（LND）の認証情報を取得し、資金を盗み出す手口が使われた。

ただし、今回確認された攻撃経路が、8月の脆弱性と関連しているかどうかは、現時点では明らかになっていない。