btcpay

オープンソースのビットコイン決済処理ツール BTCPay Server は、プラットフォーム上のビットコインとライトコインのホットウォレットが無許可の資金盗取に遭ったとの報告を複数受けています。プロジェクトチームは調査の更新を発表し、攻撃が BTCPay Server 2.4.1 バージョンまたはそれ以前のバージョンを実行しているサーバーを対象としていることを確認しました。攻撃者は、8 月 7 日に 2.4.2 バージョンで修正された脆弱性を利用し、さまざまな方法でサーバー管理者権限を取得し、ホットウォレットの資金を空にしました。BTCPay Server の創設者 Nicolas Dorier は、2.4.2 より前のバージョン、特に 2.4.1 バージョンを実行しているサーバーのみが影響を受けていることを確認しました。最新の 2.4.7 バージョンを実行しているユーザーからは、信頼できる損失報告はまだ出ていません。影響を受けた一部のサービスプロバイダー、LunaNode を含むは、リスクのある古いインスタンスを自動的にシャットダウンしました。公式は、まだ 2.4.1 またはそれ以前のバージョンを使用しているユーザーに対し、古いホットウォレットの残りの資金を新しいニーモニックフレーズを使用して作成した新しいウォレットに移動し、古いサーバーをオフラインにし、関連するログを保持することを直ちに行うように推奨しています。その後、新しい仮想マシンに最新バージョンをインストールし、新しいウォレットに接続し、古いサーバーを新しいマシンに全体復元することは避けてください。ソフトウェアバージョンの更新だけではリスクを排除するには不十分です。なぜなら、攻撃者が古いサーバー上で持続的なアクセス権を取得している可能性があるからです。サーバー外に保管されている資金、例えばハードウェアウォレット内の資金は、今回の事件の影響を受けていません。この脆弱性は、今年の 8 月に修正された脆弱性に関連しており、その際に攻撃者は LND 管理資格情報を取得してノードを操作していました。現時点で、この脆弱性には CVE 番号が割り当てられておらず、CISA の既知の悪用脆弱性ディレクトリにも含まれていません。

BTCPay Serverは、ホットウォレットの資金が未承認の攻撃者によって移動されたという報告を受けており、インスタンスの運営者に調査が完了するまでサーバーを停止することを推奨しています。

BTCPay Serverは、最近公開された深刻なPHPの脆弱性に対応するため、Dockerインストーラーを通じてオプションのWooCommerce/WordPressデプロイメントを更新しました。BTCPay ServerでWooCommerceを実行しているユーザーは、すぐに更新する必要があります。BTCPay Server内で「Update」をクリックすることで完了できます。

The Blockによると、ビットコインのオープンソース決済処理システムBTCPay Serverの支持者は、資金を回収するための報奨金を設立することを約束しました：回収した資金の10%が報酬として支払われ、全額回収された場合の上限は3枚のBTCです。BTCPayは先週の金曜日に深刻な脆弱性が積極的に悪用されていることを明らかにし、ユーザーに早急なアップグレードを促しました。この脆弱性により、攻撃者はLND管理者の資格情報を取得し、接続されたライトニングウォレットを完全に制御することが可能になります。BTCPayは、オンチェーンウォレット（ホットウォレットを含む）は影響を受けないと述べており、総損失額や影響を受けたノードの数は公開していません。

Cointelegraphの報道によると、BTCPayサーバーは、Lightning Network Daemon (LND) ソフトウェアを実行しているLightning Networkノードへの公共リモート接続を一時的に制限しました。これは、攻撃者が深刻な脆弱性を利用して認証情報を取得し、資金を移転したためです。BTCPayは、この制限により、Zeusなどの外部ウォレットがBTCPayサーバーのドメインを介して接続するのを防ぐことができると述べています。BTCPayは、Lightning支払いは引き続き行えるとし、安全だと判断した際にリモートアクセスオプションを復元する計画です。

Decrypt の報道によると、ビットコイン決済処理プロジェクト BTCPay Server は、ユーザーに対して、サーバーに進行中の攻撃を受けている深刻な脆弱性が存在することを警告しています。攻撃者はこの脆弱性を利用して未承認のアクセス権を取得し、資金の損失を引き起こす可能性があります。管理者には、直ちにバージョン 2.4.2 へのアップグレードを行い、サーバーのフッターに更新が完了したことを確認するよう求めています。タイムリーにアップグレードできない場合、公式はユーザーに BTCPay Server を一時的に停止することを推奨し、さらなる攻撃を防ぐようにしています。また、BTCPay Server は、露出の可能性がある macaroons 認証情報を変更し、macaroons.db ファイルを再作成し、他のライトニングネットワークバックエンドの認証文字列を更新することを推奨しています。

Bitcoin NewsはXプラットフォームで、BTCPay Serverが深刻な脆弱性が悪用されている可能性があり、資金の損失を引き起こす可能性があると述べています。ユーザーは直ちにBTCPay Server v2.4.2に更新するべきです；すぐに更新できないユーザーは、未承認のアクセスを防ぐために、更新がインストール可能になるまでBTCPay Serverを閉じるべきです。

ChainCatcher のメッセージ、Tether は BTCPay Server 財団に 10 万ドルの助成金を授与し、自由でオープンソースソフトウェア（FOSS）の発展を支援することを発表しました。BTCPay Server 財団は金融のプライバシーと自由の推進に取り組んでおり、そのオープンソースの決済処理ソフトウェアは、全世界の何千もの商人や企業が無料でカスタマイズして使用し、ビットコインおよび Tether USD（USDt）での支払いを受け入れることを可能にしています（Liquid ネットワークを通じて）。