BTCPay Server、重大脆弱性の悪用を受けユーザーに緊急警告

CoinMarketCapによると、ビットコイン決済サービスのBTCPay Serverは金曜日、攻撃者が重大な脆弱性を悪用しているとしてユーザーに注意喚起した。未承認アクセスや資金流出につながる恐れがあるという。プロジェクトは直ちにアップグレードするよう求め、更新を速やかに適用できない場合はサーバーを停止するよう推奨した。 BTCPayは対処として、更新に加え、認証情報の即時更新とローテーションを実施するよう要請。具体的には、認証クレデンシャルであるmacaroonsの差し替え、macaroons.dbファイルの再構築、他のLightning Networkバックエンドで使われる認証文字列の更新を挙げた。さらに、過去にBTCPay上でオンチェーンのホットウォレットを生成していた場合、資金を直ちに移し替え、ウォレットを作り直すよう勧めている。リスクはバックエンドへの侵入にとどまらず、サーバーが直接管理する資産にも及ぶ可能性があるとしている。 推奨される対応は、(1) BTCPay Serverを直ちに更新する、(2) 更新作業に入る前にサーバーを停止する、(3) macaroonsの置換と認証ファイルの再構築を行う、の3点。脆弱性の詳細は公表されていない。 BTCPayは発見者としてBitcoin Red Teamのメンバーに謝意を示した一方、脆弱性の仕組み、攻撃の開始時期、影響を受けたサーバー数、実際の資金被害の有無は明らかにしていない。攻撃が進行中の場合、攻撃面の拡大を防ぐため技術的な詳細開示を遅らせるのが一般的で、現時点では隔離、更新、認証情報のローテーションが最優先の対応になる。 直近の暗号資産分野のセキュリティ事案では、AIを用いた脆弱性発見が話題に上っている。BTCPayは今回の攻撃でAIツールが関与したかどうかを示していないが、近年はAIが脆弱性の特定に使われるケースが増えている。5月にはセキュリティ研究者のTaylor HornbyがAnthropicのClaude Opusを用い、Zcashに存在した4年前の脆弱性を発見した。8月にはハードウェアウォレットのCoinkiteが、1億ドル超相当の盗難ビットコインに関連するファームウェア欠陥の特定に攻撃者がAIを用いた可能性に言及。今週火曜日にはビットコイン交換サービスのBoltzが、繰り返し悪用を受けて業務を停止し、AI支援の攻撃が自社の修正速度を上回って脆弱性を見つけていると説明した。