BTCPay / TokenPostの投稿を見かけた：オープンソースのセルフホスト型決済ツール「BTCPay Server」で、ホットウォレットが不正に全額引き出されたとの報告が複数寄せられた。11/1、公式はまず全員に ./btcpay-down.sh を実行してインスタンスを停止するよう呼びかけた。

重要点：その後の調査で、攻撃対象は 2.4.1（2026-07-23）以前のバージョンに絞られた。最新の 2.4.7 を使っているユーザーからは、信頼できる盗難報告は今のところない。創設者によると、被害を受けたインスタンスでは攻撃者が管理者としてログインしていたが、権限をどう取得したのかは調査中。被害額や台数は公表されていない。LunaNodeなどのホスティング事業者は、旧バージョンを自動的に停止済み。

8月には <2.4.2 の LND 認証情報の脆弱性が原因で、すでに一度スキャン被害があったばかり——ホットウォレットには、失っても困らない額以上を入れないこと。

#BTC #安全 #BTCPay