BTCPay Serverは11月2日朝、ビットコイン決済ソフトのホットウォレット資金が不正に流出したとの報告を受け、サーバー運用者に調査完了まで停止を求めた。暗号資産（仮想通貨）の決済基盤を自前運用する事業者に影響する可能性がある事案となる。

2日7時25分ごろ公式Xで「BTCPay Serversのホットウォレットが権限のない攻撃者により掃引されているとの報告を受けている」とし、運用中のインスタンスを`./btcpay-down.sh`で停止するよう要請した。対象はBTCPay Serverを稼働する運用者だ。

主要開発者のニコラ・ドリエ氏は同日、その後の投稿で、攻撃者は「管理者としてログインしていた」と述べた。被害報告は2.4.2より前の版である可能性があるとの見方を示し、10時52分には旧版の脆弱性が使われた痕跡があると説明した。

今回の事案は、8月7日に公表された2.4.2以前の脆弱性対応とは被害対象が異なる。8月の事案ではLNDの`.macaroon`認証情報が取得され、LND利用サーバーの資金流出が問題となった一方、BTCPay Serverのオンチェーンのホットウォレットは対象外とされていた。

ドリエ氏は、自身の公開サーバーでは2.4.7を稼働しており被害は確認していないと述べた。BTCPay Serverは10月29日、アンソロピックの脆弱性スキャナーで指摘された85件の問題を修正した2.4.7を公開しており、この中にはCritical 1件、High 13件が含まれていた。

参考元：Btcpayserver
画像：Shutterstock