BTCPay Serverは、攻撃者が接続されたホットウォレットからビットコインを次々と引き出しているとの報告を受け、加盟店とセルフホスト型決済サービスの運営者に対し、サーバーをオフラインにするよう警告しました。
プロジェクトの公式アカウントが2026年11月1日22時25分（UTC）ごろに公開した緊急通知では、報告された侵害について開発者が調査する間、運営者はBTCPay Serverのインスタンスを停止するよう指示されました。
このインシデントは、従来の決済仲介業者を介さないためにセルフホスト型のビットコイン決済インフラを利用している加盟店に懸念をもたらしています。また、オープンソースソフトウェアのセキュリティ上の課題も浮き彫りにしています。脆弱性の修正が保護できるのは、実際にアップデートを受け取り、適用したインストール環境だけです。
初期報告の時点では、盗まれたビットコインの量、影響を受けた加盟店の数、攻撃者が最初にアクセスを得た方法について、開発者は確認していなかった。
開発者、運用者にBTCPay Serverの停止を呼びかけ
プロジェクトの緊急メッセージによると、BTCPay Serverのインストール環境に接続されたホットウォレットが、不正な攻撃者によって資金を抜き取られていた。
調査担当者がインシデントの範囲と原因を特定できるまで、運用者には ./btcpay-down.sh コマンドを使ってインスタンスを停止するよう指示された。
コア貢献者のUncle Rockstar Developerも警告を強め、緊急事態だと説明し、ホットウォレットを運用している人々にサーバーを停止するよう伝えた。
BTCPay Serverは、従来型の決済処理業者に依存せず、加盟店がビットコインを直接受け付けられるオープンソースの決済ソフトウェアだ。企業はソフトウェアを自らホストし、決済インフラやウォレットの構成を管理できる。
このモデルは運用上の独立性を高める一方、サーバーの保守、ソフトウェアの更新、ウォレットのセキュリティに対する責任を運用者に課す。
Nicolas Dorier、旧バージョンのソフトウェアを指摘
BTCPay Serverの創設者Nicolas Dorierはその後、調査対象を古いインストール環境に絞り込む暫定的な調査結果を共有した。
Dorierによると、影響を受けた環境では2.4.2より前にリリースされたバージョンが稼働していた。攻撃者は管理者アクセス権を得たとされ、フォレンジックの痕跡は、これらの旧リリースに存在した脆弱性を示している。
Dorierはまた、バージョン2.4.7を実行していた公開サーバーやデモサーバーは攻撃を受けていなかったと述べた。
この違いは重要だ。報告された侵害の原因が最新リリースにあるとは考えにくいことを示している。しかし、この観察結果を、バージョン2.4.7を実行するすべてのインストール環境が攻撃を受けない証拠と解釈すべきではない。
調査担当者はまだ完全な技術的説明を公表しておらず、正確な侵入経路や、報告された盗難と以前に開示された脆弱性との関係は未解明のままだった。
以前のLightning Network脆弱性が新たな背景に
今回の調査を受け、8月に開示された別のBTCPay Serverのセキュリティ問題にも注目が集まっている。
この脆弱性により、認証されていない攻撃者がLightning Network Daemon（LND）のマカロン認証情報を取得できた。これらの認証情報は、特定のLightning Network操作へのアクセスを許可する認証トークンとして機能する。
開発者はバージョン2.4.2でこの問題を修正した。当時、BTCPay Server自体のオンチェーンウォレットは、この特定の脆弱性による影響を受けないと説明していた。
11月に報告されたウォレット盗難が、同じ脆弱性、旧リリースに影響する別の脆弱性、あるいは複数のセキュリティ問題の組み合わせによるものかは、明らかになっていない。
この違いは重要だ。以前に修正された脆弱性は、古い環境が危険にさらされた理由の説明に役立つ可能性はあるが、フォレンジック報告書が公表されていない以上、確定した原因として扱うことはできない。
インシデントの数日前、バージョン2.4.7で85件のセキュリティ上の問題を修正
緊急警告のタイミングがさらに注目を集めているのは、BTCPay Serverがそのわずか3日前に大規模なセキュリティアップデートをリリースしていたためだ。
2026年10月29日、Anthropicのオープンソース・セキュリティスキャン施策を通じて生成された脆弱性報告を受け、プロジェクトはバージョン2.4.7をリリースした。
このアップデートでは、報告された85件の問題に対処した。内訳は以下のとおり。
重大：1件
重大度高：13件
重大度中：52件
重大度低：19件
この発見は、AIを活用した脆弱性研究が広がる中で明らかになった。2026年には、Anthropic、OpenAI、Googleが開発したシステムが、ソフトウェアの潜在的な弱点を特定する能力をますます高度化させていることを示した。
Anthropicのスキャン施策では、6カ月間で29,000件を超える脆弱性候補が報告されたが、そのうち手動でレビューされたのは一部にとどまった。
BTCPay Serverのインシデントは、脆弱性を発見することと、本番環境ですでに稼働しているソフトウェアを保護することの違いを示している。プロジェクトが修正を公開しても、各自で運用されているサーバーが自動的に更新されるわけではない。
古いリリースを使い続けているインストール環境では、開発者がすでに対処した脆弱性にユーザーがさらされ続ける可能性がある。
加盟店が決済インフラをオフラインに
この警告を受け、Coincardsを含む企業はBTCPay Serverのインストール環境をオフラインにした。
加盟店にとって、この判断は即時の運用上のトレードオフを生む。決済サーバーを稼働させ続ければ通常の取引を支えられる一方、侵害された可能性のあるホットウォレットを接続したままにすると、さらなる不正送金によって資金が危険にさらされるおそれがある。
Dorierはまた、ホットウォレットの残高を、運用者が失っても許容できる額に抑える重要性を改めて強調した。
ホットウォレットはオンラインシステムに接続され、通常の取引に使われることが多い。アクセスしやすいため決済処理に便利だが、慎重なセキュリティ対策を講じ、保有する資金に上限を設ける必要もある。
今回報告されたインシデントを受け、ウォレットの露出、サーバーのアクセス権限、アップデートの実施状況、運用資金と大規模な準備金の分離に改めて注目が集まっている。
セルフホスト型暗号資産決済が直面する、より広範なセキュリティ課題
BTCPay Serverのモデルでは、加盟店がビットコイン決済を直接管理できるが、セルフホストであっても継続的なセキュリティ管理が不要になるわけではない。
運用者はソフトウェアのリリースを監視し、パッチを適用し、管理者の認証情報を保護するとともに、接続されたウォレットに伴うリスクを評価する必要がある。開発者が修正を公開した後も、アップデートが遅れればシステムが危険にさらされる可能性がある。
AIを活用したセキュリティ研究により、脆弱性の発見や報告が加速する可能性がある。長期的にはソフトウェアのセキュリティ向上につながり得る一方、報告内容の検証、修正のリリース、アップデートの迅速な導入を、メンテナーや運用者に迫ることにもなる。
専任のセキュリティチームを持たない可能性のある企業が利用するオープンソースインフラでは、とりわけ重要な課題だ。パッチ適用の責任は、個々の加盟店やサービス運用者に委ねられる場合がある。
損失額が確認されないまま調査が継続
公開された更新情報には、盗まれたビットコインの確定的な推定額、影響を受けた加盟店数の確認済み集計、攻撃手法の全容は含まれていなかった。
開発者はより詳細な説明を準備していたが、提供された更新情報では、インシデントに特化した最終的なパッチや安全宣言は発表されていなかった。
調査担当者が詳細をさらに公表するまでは、報告された盗難、旧バージョンのソフトウェア、以前に開示された脆弱性の関連性は、暫定的な見解にとどまる。
CryptosNewss.comで初掲載