BTCPay創業者、2.4.2以前のサーバーにおけるホットウォレットの資金移動を管理者ログインと関連付け

BTCPay Server創設者のニコラス・ドリアー氏によると、日曜日に報告されたホットウォレットの盗難は、2.4.2より古いリリースを実行しているサーバーに関連するものだとされています。

攻撃者はこれらのインスタンスで管理者としてログインしており、チームはその方法を探っています。

調査により、攻撃ベクターは2.4.1リリースまたはそれ以前に特定されました

BTCPayは日曜日の午後5時25分（ET）に警告を発信しました。調査が完了するまで、インスタンスを実行しているユーザーには ./btcpay-down.sh コマンドでインスタンスを停止するよう促しています。

ドリエーは約2時間後に投稿しました。BTCPayの公開サーバー（バージョン2.4.7）は攻撃を受けていないと彼は述べています。

ドリエ氏はその後、チームが「バージョン2.4.2以前の脆弱性が悪用された」という痕跡を確認したと述べました。

BTCPayの午後11時07分（ET）の更新情報では、攻撃対象が特定されました。調査の結果、7月23日にリリースされたバージョン2.4.1、またはそれ以前のバージョンで動作するインスタンスを対象とした攻撃ベクトルが発見されました。

10月29日にリリースされた2.4.7では、ユーザーから「ホットウォレットからの資金流出に関する信頼できる報告」はなかったとプロジェクトは説明しています。運用者に対してソフトウェアの最新維持を呼びかけ、被害者は詳細とログをセキュリティチームに送信するよう求めました。

一部のホスティングプロバイダーは、古いバージョンが悪用されるのを防ぐため、インスタンスを自動的にシャットダウンした可能性があります。BTCPayは、迅速な対応を行ったLunaNodeをはじめとする関係者に感謝を示しています。

ドリエ氏は、バージョン2.4.2リリース以降に少なくとも1回はアップデートを実施した運用者については「パニックになる必要はない」と述べています。また、ホットウォレットに過度な資金を残さないよう注意を促し、詳細を記載したブログ記事を今後公開すると約束しました。

日曜日の流出では、8月の注意喚起で安全と判断されていた資金が狙われた

BTCPayは自己ホスティング型であるため、プロジェクト側から加盟店のサーバーを変更したり、シャットダウンしたりすることはできません。ホットウォレットモードでは、サーバー上に保存されたシードを使用して支払いに署名するため、そのサーバーを制御できる者はコインを移動することが可能です。

2.4.2ラインは8月に遡ります。BTCPayは8月7日、すでに攻撃を受けていた重大な脆弱性を修正するためバージョン2.4.2をリリースしました。Cryptopolitanが報じています。

2.4.2のリリース候補版を含む過去のすべてのリリースでは、認証されていない攻撃者がLNDのmacaroon資格情報を盗むことが可能でした。攻撃者はLightningノードを乗っ取り、その資金を移動させることができました。

FoundationおよびCitadel21がLightningノードへの攻撃を報告しました。Sparrow Walletの開発者であるCraig Raw氏も被害にあったと語っています。

2.4.2リリースに伴い、LNDのmacaroonsは自動的に再生成されました。運用者が独自のプロキシ、Torサービス、またはポート転送を通じてLNDを公開していた場合、それらの資格情報を手動で変更する必要がありました。

バージョン2.4.2では、8月4日に報告されたGreenfield APIのBasic Authentication経由のTOTP二段階認証バイパスという別の脆弱性も修正されました。BTCPayは、このバグはmacaroonハックとは無関係であると述べています。

BTCPayの advisory によると、ホットウォレットを含むオンチェーンウォレットはこの欠陥の影響を受けていませんでした。日曜日の報道では、ホットウォレットが空にされていると伝えられました。

BTCPayもドリアーも、攻撃者が8月のマカローンバグを悪用したのか、それとも2.4.2以前の別の脆弱性を利用したのかについては明らかにしていません。8月には、支援者らが返還された資金の10％（最大3 BTC）のリカバリー報奨金を提供しました。

Riverによると、2025年のビットコインの平均的な加盟店の使用量は74%増加し、ライトニングネットワークの取引量は月間10億ドルを超えた。