BTCPay Serverは、権限のない第三者がホットウォレットにアクセスし、資金を引き出していることが判明したため、日曜日に各インスタンスの停止を運営者に呼びかけました。プロジェクトはXでの発表で、調査が完了するまで、すべてのインスタンス管理者にshutdownコマンドを使ってプラットフォームをオフラインにするよう求めました。

ただし、プロジェクトは根本原因、影響を受けたサーバーの数、盗まれた金額の総額をまだ明らかにしていません。

BTCPay Serverでは最近、ほかにも2件のインシデントが発生しています

BTCPay ServerはXで次のように共有しました。「BTCPay Serverのホットウォレットが、権限のない攻撃者によって資金を抜き取られたとの報告を受けています。インスタンスを運用している場合は、調査が完了するまで停止してください（./btcpay-down.sh）。」

BTCPayはセルフホスト型であるため、停止する責任は各サーバーの所有者にあります。ドキュメントによると、ホットウォレット機能は取引に署名するためのシードをサーバー上に直接保存し、外部ハードウェアに頼らず迅速な支払いを可能にします。残念ながら、この利便性により、ホットウォレットはコールドストレージよりもはるかに脆弱になっています。

ホットウォレットは、秘密鍵がインターネットに接続されたシステムに保存されているため、特に脆弱です。そのため、基盤となるインフラを侵害した攻撃者にアクセスされる可能性があります。署名鍵をオフラインで保管するコールドウォレットとは異なり、ホットウォレットは利便性を優先し、加盟店がより迅速に取引を処理できるようにします。

ビットコイン決済の受け付けにBTCPay Serverを利用する事業者にとって、ホットウォレットが侵害されれば、加盟店への精算や顧客取引に充てる資金が流出するおそれがあります。そのため、今回の警告を受け、運営者が決済の利便性と、秘密鍵を不正アクセスから守る必要性とのバランスをどう取れるのかが問われています。

このインシデントについて、BTC技術企業JAN3のCEO、Samson Mow氏は次のように助言しました。「BTCPayのユーザーがAqua Bitcoinに直接受け取り、定期的にコールドストレージへスワップできるよう、SamRockとIndraの連携を早急に実現することを優先すべきだと思います。」

この警告は、プロジェクトで発生した他の2件のセキュリティインシデントに続くものです。わずか数日前の10月29日、BTCPayはこの脆弱性などに対処するため、緊急アップデート（v.2.4.7）を公開しました。

8月には攻撃者が別のセキュリティ上の欠陥も悪用し、Lightning Networkの鍵を盗み、Foundation（ハードウェアウォレットメーカー）に属するノードを含む複数の関連ノードから資金を流出させました。ただしBTCPayは、標準的なオンチェーンウォレットと組み込みのホットウォレットについては、この攻撃の影響を受けないとユーザーに伝えていました。

それでもBTCPayは、サーバーをバージョン2.4にアップデートするか、アップデートできるまでの間、少なくとも一時的にBTCPay Serverのインスタンスを無効にするようユーザーに求め、不正アクセスのリスクを軽減しようとしていました。

調査が完了するまで、運営者はサーバーの稼働状況、ウォレット残高、取引履歴を確認し、不審な資金移動がないか調べる必要があるかもしれません。ホットウォレットが侵害された疑いがある場合は、漏えいした可能性のある署名鍵の使用を続けるべきではありません。

このインシデントは、バックアップを安全に保管する必要があること、また多額のビットコイン残高は決済インフラに接続されたウォレットではなく、オフラインで保管すべきであることも示しています。

Coldcard、8月に攻撃を受ける

8月には、ビットコイン専用ウォレットの人気メーカーColdcardもエクスプロイトの被害に遭い、これまでに少なくとも1億1,600万ドルの損失が確認されています。BlockaidのCEO、Ido Ben-Natan氏によると、Coldcardのインシデントは、秘密鍵への依存が単一障害点になり得るという、暗号資産業界の根本的な弱点を露呈しました。

Natan氏は次のように述べました。「こうしたものへのアクセスは、一度きりのものです。誰もほかの人が侵入してアクセスできないという点は素晴らしい。一方で、それが単一障害点になっているという難しさもあります。」

さらに同氏は、次のように主張しました。「ここから得られる教訓は、資産をどこかに置いたまま忘れ、気にも留めないことは、実際には解決策にならないということです。セキュリティは急速に進化しています。常に警戒し続けるか、意思決定のプロセスを誰かに委ねるかのどちらかが必要です。」

エクスプロイトの根本原因は、Coldcard端末のウォレットシード生成手順を破損させる深刻なファームウェアのバグでした。これにより、安全なウォレットの作成に必要なランダム化の要素が失われ、攻撃者が秘密鍵を計算してウォレット内のビットコインをすべて引き出せる状態になりました。調査会社K33によると、7,000件を超えるアドレスが影響を受けました。

2026年前半に暗号資産関連のエクスプロイトで盗まれた資金のうち、平均で約4分の3が秘密鍵の侵害に関連していました。

暗号資産のニュースを読むだけでなく、理解しましょう。ニュースレターに登録してください。無料です。