server

オープンソースのビットコイン決済処理ツール BTCPay Server は、プラットフォーム上のビットコインとライトコインのホットウォレットが無許可の資金盗取に遭ったとの報告を複数受けています。プロジェクトチームは調査の更新を発表し、攻撃が BTCPay Server 2.4.1 バージョンまたはそれ以前のバージョンを実行しているサーバーを対象としていることを確認しました。攻撃者は、8 月 7 日に 2.4.2 バージョンで修正された脆弱性を利用し、さまざまな方法でサーバー管理者権限を取得し、ホットウォレットの資金を空にしました。BTCPay Server の創設者 Nicolas Dorier は、2.4.2 より前のバージョン、特に 2.4.1 バージョンを実行しているサーバーのみが影響を受けていることを確認しました。最新の 2.4.7 バージョンを実行しているユーザーからは、信頼できる損失報告はまだ出ていません。影響を受けた一部のサービスプロバイダー、LunaNode を含むは、リスクのある古いインスタンスを自動的にシャットダウンしました。公式は、まだ 2.4.1 またはそれ以前のバージョンを使用しているユーザーに対し、古いホットウォレットの残りの資金を新しいニーモニックフレーズを使用して作成した新しいウォレットに移動し、古いサーバーをオフラインにし、関連するログを保持することを直ちに行うように推奨しています。その後、新しい仮想マシンに最新バージョンをインストールし、新しいウォレットに接続し、古いサーバーを新しいマシンに全体復元することは避けてください。ソフトウェアバージョンの更新だけではリスクを排除するには不十分です。なぜなら、攻撃者が古いサーバー上で持続的なアクセス権を取得している可能性があるからです。サーバー外に保管されている資金、例えばハードウェアウォレット内の資金は、今回の事件の影響を受けていません。この脆弱性は、今年の 8 月に修正された脆弱性に関連しており、その際に攻撃者は LND 管理資格情報を取得してノードを操作していました。現時点で、この脆弱性には CVE 番号が割り当てられておらず、CISA の既知の悪用脆弱性ディレクトリにも含まれていません。

BTCPay Serverは、ホットウォレットの資金が未承認の攻撃者によって移動されたという報告を受けており、インスタンスの運営者に調査が完了するまでサーバーを停止することを推奨しています。

BTCPay Serverは、最近公開された深刻なPHPの脆弱性に対応するため、Dockerインストーラーを通じてオプションのWooCommerce/WordPressデプロイメントを更新しました。BTCPay ServerでWooCommerceを実行しているユーザーは、すぐに更新する必要があります。BTCPay Server内で「Update」をクリックすることで完了できます。

The Blockによると、ビットコインのオープンソース決済処理システムBTCPay Serverの支持者は、資金を回収するための報奨金を設立することを約束しました：回収した資金の10%が報酬として支払われ、全額回収された場合の上限は3枚のBTCです。BTCPayは先週の金曜日に深刻な脆弱性が積極的に悪用されていることを明らかにし、ユーザーに早急なアップグレードを促しました。この脆弱性により、攻撃者はLND管理者の資格情報を取得し、接続されたライトニングウォレットを完全に制御することが可能になります。BTCPayは、オンチェーンウォレット（ホットウォレットを含む）は影響を受けないと述べており、総損失額や影響を受けたノードの数は公開していません。

Decrypt の報道によると、ビットコイン決済処理プロジェクト BTCPay Server は、ユーザーに対して、サーバーに進行中の攻撃を受けている深刻な脆弱性が存在することを警告しています。攻撃者はこの脆弱性を利用して未承認のアクセス権を取得し、資金の損失を引き起こす可能性があります。管理者には、直ちにバージョン 2.4.2 へのアップグレードを行い、サーバーのフッターに更新が完了したことを確認するよう求めています。タイムリーにアップグレードできない場合、公式はユーザーに BTCPay Server を一時的に停止することを推奨し、さらなる攻撃を防ぐようにしています。また、BTCPay Server は、露出の可能性がある macaroons 認証情報を変更し、macaroons.db ファイルを再作成し、他のライトニングネットワークバックエンドの認証文字列を更新することを推奨しています。

Bitcoin NewsはXプラットフォームで、BTCPay Serverが深刻な脆弱性が悪用されている可能性があり、資金の損失を引き起こす可能性があると述べています。ユーザーは直ちにBTCPay Server v2.4.2に更新するべきです；すぐに更新できないユーザーは、未承認のアクセスを防ぐために、更新がインストール可能になるまでBTCPay Serverを閉じるべきです。

Libbitcoinの開発者@evoskuilは、最新版のLibbitcoin Serverが55分以内にビットコインのフルノード初期ブロックのダウンロードを完了し、完全な検証を行うことができると述べています。この速度向上は、新しいGPUベースの署名検証システムによるもので、このシステムは従来のスクリプト検証と並行して動作し、別のステップとして実行されるのではありません。ソフトウェアは、各ECDSAおよびSchnorr署名を検証するために実行を一時停止することはなく、署名チェックをキャッチし、バッチ処理を行い、残りの検証が続行される間にGPUで処理します。@evoskuilは、この方法により約99.5%の署名キャッチ率を実現でき、検証をブロックすることがないため、二重検証を行う必要がないと述べています。もしバッチ署名チェックが失敗した場合、ソフトウェアはそれを対応するブロックに追跡し、そのブロックを無効としてマークします。彼はまた、この設計がほぼ任意の数の署名をバッチ処理できるため、GPUが残りの検証プロセスに対して優位性を保ち、フルノードの同期時間を大幅に短縮できると述べています。

ChainCatcher のメッセージによると、Chainalysis の報告で、アメリカ合衆国財務省海外資産管理局（OFAC）、イギリス外交・連邦省（FCDO）、およびオーストラリア外交貿易省（DFAT）は、2025年2月11日にロシアの防弾ホスティングサービスプロバイダー Zservers に対する制裁を共同で発表しました。この会社は、LockBit ランサムウェアグループの攻撃活動を支援したために制裁を受けました。制裁リストには、ロシアの市民である Aleksandr Bolshakov、Alexander Mishin とその関連する暗号通貨アドレス、さらに Zservers 社およびその3つの暗号通貨アドレスが含まれています。オンチェーンデータによると、Zservers は Garantex などの KYC 不要の取引所を通じて520万ドル以上の資金清算を行っています。この会社はロシア、ブルガリア、オランダ、アメリカ合衆国、フィンランドにサーバーを持ち、複数のランサムウェア組織にインフラストラクチャサポートを提供しています。

ChainCatcher のメッセージ、Tether は BTCPay Server 財団に 10 万ドルの助成金を授与し、自由でオープンソースソフトウェア（FOSS）の発展を支援することを発表しました。BTCPay Server 財団は金融のプライバシーと自由の推進に取り組んでおり、そのオープンソースの決済処理ソフトウェアは、全世界の何千もの商人や企業が無料でカスタマイズして使用し、ビットコインおよび Tether USD（USDt）での支払いを受け入れることを可能にしています（Liquid ネットワークを通じて）。