BTCPay Server旧版で資金盗難―2.4.1以前の利用者へ新サーバーへの移行を要請

BTCPay Serverは2026年11月2日、旧版のホットウォレットからBitcoinとLitecoinが盗まれた事案を公表しました。対象は2.4.1以前。8月7日公開の2.4.2で修正した脆弱性が、異なる方法で悪用されたと説明しています。今回の告知にはCVE番号やCVSS評価はありません。

11月1日の警告前から2.4.2以降を使っていたサーバーでは、今回の攻撃による影響は観測されていません。一方、警告後に旧版から更新した環境や、残高の変化が見えない旧環境にも再構築を勧めています。更新しても、侵入者が既に確保したアクセスを除去できるとは限らないためです。

復旧では信頼できる端末で新しいシードのウォレットを用意し、残金を移します。旧サーバーを隔離してログを保全し、新しいVMに最新のサポート対象版を導入します。旧VM全体の復元やシードの再利用は避け、旧環境から触れたホスティング、SSH、アプリ、APIなどの認証情報も失効・再発行します。

秘密鍵をサーバー外に保管したウォレットの資金は今回の盗難の影響を受けていませんが、旧サーバーの再構築は必要とされています。攻撃開始時刻と被害総額は未確定です。公開された送金先の残高全体を被害額とみなすこともできません。