オープンソースの暗号資産決済プロセッサであるBTCPay Serverのプロジェクト運営チームは、旧バージョンのソフトウェアを実行しているサーバーに関連付けられた「ホットウォレット」を標的とした一連の攻撃が確認されたことを受け、緊急のセキュリティ警告を発しました。
脆弱性の詳細
プロジェクトの創設者であるニコラス・ドゥリエ氏は、調査の結果、特にバージョン2.4.2より前のバージョンを標的とした攻撃ベクトルが明らかになったと述べました。攻撃者はこれらのサーバーにおいて管理者権限へのアクセスに成功していました。この重大な脆弱性は、Anthropic社のスキャンツール「Frontier OSS」を通じて以前に発見されており、これを受けてチームは緊急セキュリティアップデート「2.4.7」をリリースしました。
チームは、今回の攻撃が公開サーバーを標的としたものではなく、アップデートされていないセルフホスト型のインスタンスに集中していたことを指摘しました。現時点では、バージョン2.4.7にアップグレードしたユーザーがハッキング被害に遭ったという信頼できる報告はありません。
ユーザーがとるべき行動
プロジェクトは、特にバージョン2.4.1以前を使用しているユーザーに対し、デジタル資産を保護するために直ちに以下の措置を講じるよう強調しました：
- 即時のアップデート：すべての運用者は、サーバー設定（Server Settings → Maintenance → Update）からバージョン2.4.7へアップグレードする必要があります。
- サーバーの停止：アップデートが完了するまでの予防措置として、影響を受けるサーバーを直ちに停止することを強く推奨します。
- Dockerユーザー向け：SSH経由でサーバーにアクセスし、インストールディレクトリ（btcpayserver-docker）に入った後、アップデートコマンド（./btcpay-update.sh）を実行することでアップデート可能です。
このニュースが重要な理由
この警告の重要性は、BTCPay Serverがセルフホスト型の決済ソリューションであるという性質にあります。ユーザーは仲介者を介さず、自身のサーバーとデジタル資産のセキュリティに対して全責任を負うことになります。管理者アクセス権の脆弱性が悪用されることは、攻撃者が決済プロセスを完全に制御し、検証を操作できることを意味し、加盟店やユーザーの資金を直接脅かすものです。チームは、被害を受けたユーザーに対し、セキュリティ用メールアドレス（security@btcpayserver.org）へ詳細を報告し、資金の紛失について各地域の当局へ届け出るよう求めています。