BTCPay Server、資金流出につながる重大脆弱性を警告　v2.4.2へ緊急アップデート呼びかけ

BTCPay Serverは8月7日、資金を盗まれる恐れがある重大な脆弱性が「既に悪用されている」として、最新版v2.4.2を直ちに適用するよう利用者に求めた。告知は公式Xアカウントで行われた。 運用者に求められる対応は次の通り。まず、サーバー内蔵のメンテナンス機能から即時アップデートを実施する。手順は「Admin Dashboard → Server → Maintenance → Update」。更新後、フッター表示がv2.4.2になっていることを確認する。すぐにパッチを当てられない場合は、修正版を導入できるまでBTCPay Serverを停止するよう推奨している。プロジェクト側は、影響を受けうるサーバーをオフラインにして不正アクセスの継続を遮断することを明確に勧めた。 現時点で判明しているのは、当該不具合が重大（critical）に分類され、実際に攻撃が行われているという点に限られる。どの旧バージョンが影響を受けるのか、侵入経路、侵害されたインスタンス数、資金流出の有無は公表されていない。侵害指標（IoC）や技術的な詳細も未公開で、運用者が攻撃対象になったかどうかを判断する材料は限られている。 BTCPay Serverは、オープンソースでセルフホスト型の決済処理ソフトウェア。事業者が自ら管理する環境でBitcoinおよびLightning決済を受け付けられる。非カストディアルの設計は第三者依存を減らす一方、更新とセキュリティ確保は各運用者の責任となる。侵害された場合、決済オペレーションやサーバー上の機微な機能が露出するリスクがある。 今回の注意喚起は、Zeus Walletがサイバー攻撃を受けて一時的にシステムを停止した直近の事案に続くもの。Zeusは顧客資金の損失はなく、調査でもLightningノードソフトウェアの脆弱性は見つからなかったとしている。両事案の関連を示す情報は現時点でない。 ビットコイン関連のセキュリティ点検は強化されており、ボランティア組織Bitcoin Red Teamは最近、390プロジェクトで約5,000件の潜在的問題を指摘し、このうち720件が高リスクまたは重大（high／critical）と評価された。 要点としては、これは通常の保守ではなく緊急対応として扱うべきだ。公式インターフェースからv2.4.2へ更新し、対応できない場合は更新可能になるまでサーバーを停止する。侵害指標が提供されていない点を踏まえつつ、運用者は不正アクセスの兆候がないかサーバーの活動履歴も確認したい。技術情報は、未更新環境へのリスクが下がる段階で追加公開される可能性がある。