BTCPay Server：旧版の脆弱性によりホットウォレットの資金が盗まれました。ユーザーは直ちに移行することをお勧めします。

オープンソースのビットコイン決済処理ツール BTCPay Server は、プラットフォーム上のビットコインとライトコインのホットウォレットが無許可の資金盗取に遭ったとの報告を複数受けています。プロジェクトチームは調査の更新を発表し、攻撃が BTCPay Server 2.4.1 バージョンまたはそれ以前のバージョンを実行しているサーバーを対象としていることを確認しました。攻撃者は、8 月 7 日に 2.4.2 バージョンで修正された脆弱性を利用し、さまざまな方法でサーバー管理者権限を取得し、ホットウォレットの資金を空にしました。

BTCPay Server の創設者 Nicolas Dorier は、2.4.2 より前のバージョン、特に 2.4.1 バージョンを実行しているサーバーのみが影響を受けていることを確認しました。最新の 2.4.7 バージョンを実行しているユーザーからは、信頼できる損失報告はまだ出ていません。影響を受けた一部のサービスプロバイダー、LunaNode を含むは、リスクのある古いインスタンスを自動的にシャットダウンしました。公式は、まだ 2.4.1 またはそれ以前のバージョンを使用しているユーザーに対し、古いホットウォレットの残りの資金を新しいニーモニックフレーズを使用して作成した新しいウォレットに移動し、古いサーバーをオフラインにし、関連するログを保持することを直ちに行うように推奨しています。その後、新しい仮想マシンに最新バージョンをインストールし、新しいウォレットに接続し、古いサーバーを新しいマシンに全体復元することは避けてください。

ソフトウェアバージョンの更新だけではリスクを排除するには不十分です。なぜなら、攻撃者が古いサーバー上で持続的なアクセス権を取得している可能性があるからです。サーバー外に保管されている資金、例えばハードウェアウォレット内の資金は、今回の事件の影響を受けていません。この脆弱性は、今年の 8 月に修正された脆弱性に関連しており、その際に攻撃者は LND 管理資格情報を取得してノードを操作していました。現時点で、この脆弱性には CVE 番号が割り当てられておらず、CISA の既知の悪用脆弱性ディレクトリにも含まれていません。