ハッカーがBTCPay Serverの脆弱性を悪用、暗号資産を窃取

ハッカーが、古いバージョンのBTCPay Serverのホットウォレットから暗号資産を盗み出しました。ブロックチェーン分析によると、窃取に関連するアドレスへ流れたビットコインとライトコインは、合計で約163万ドル相当に上ります。

BTCPay Serverは11月2日、インシデントに関する最新情報を公表しました。それによると、被害に遭ったのは、このオープンソースの決済プラットフォームのバージョン2.4.1以前を稼働させていたサーバーです。攻撃者は、8月7日にリリースされたバージョン2.4.2で修正済みの脆弱性を、別の手法で悪用していました。

警告を出した時点では、2.4.2以降を稼働させているサーバーへの影響は確認されていませんでした。

ブロックチェーンインテリジェンス企業のBitqueryによる分析では、BTCPay Serverが挙げた2つのアドレスに、18.38BTCと3405LTCが流れたことが判明しました。資金は10月30日から11月2日朝までに、682回のスイープ（一括送金）で移動されています。Bitqueryによると、犯人は管理者としてサーバーにサインインし、ホットウォレットの資金を一括で抜き取ったということです。

この脆弱性は8月にもすでに悪用されており、Lightning Networkの実装であるLNDを経由して資金が盗まれていました。ただし、BTCPay Serverは当時、ホットウォレットを含むオンチェーンウォレットは影響を受けていないと説明していました。

ホットウォレット侵害の関連記事：Bitget、3億8750万ドルのウォレット侵害を受けビットコインの出金を再開

BTCPayの警告後もスイープが継続

Bitqueryによると、追跡できた資金の87%は、11月1日の午後から夜にかけての一度の波で移動されました。同日22時25分（UTC）にBTCPay Serverが運営者へインスタンスの停止を呼びかけた後も、さらに267回のスイープが行われ、その額は約15万ドルに上ります。

ブロックチェーンに記録されるのはシステムではなくウォレットのため、同社は被害に遭ったサーバーの台数を特定できていません。また、ライトニングの資金など、ほかのアドレスや通貨は集計から除外しています。そのため、同社が示した金額は最低ラインといえます。

BTCPay Serverは、この2つのアドレスにおける一部の取引が、報告された窃取より前に発生していたとみられるとも説明しています。このため、アドレスの残高をそのまま確定した被害額とみなすべきではないとしています。同プロジェクトは、被害総額を公表していません。

BTCPay Server、ホットウォレット利用者に環境の再構築を要請

BTCPay Serverは、バージョン2.4.1以前を使っていた運営者に対し、すでに更新済みであっても、新しいウォレットとシードを用意した新規サーバーへ移行するよう強く求めています。「更新だけでは、攻撃者がすでに得た可能性のあるアクセス権を排除できない」と警告しました。

秘密鍵をサーバー外で保管しているウォレット（ハードウェアウォレットなど）は影響を受けなかったとしています。サーバーには運用に必要な資金だけを置くことも推奨しました。

同プロジェクトはさらに、運営者はログと取引記録を保全し、漏えいした可能性のある認証情報を入れ替えるべきだと述べています。また、古いサーバーを新しいサーバーに復元することも避けるよう呼びかけました。

修正版は8月7日から提供されていました。資金が抜き取られたウォレットは、いずれもそれを適用していなかったサーバー上にありました。