ビットコイン決済ツール「BTCPay Server」が、利用者にサーバーの停止を緊急で呼びかけた。一部の事業者のサーバーで、ネットにつながったウォレットから資金が抜き取られたとの報告が相次いだためだ。
運営は11月1日にX上で警告を出した。約2時間後には創設者のニコラス・ドリエ氏が、被害はバージョン2.4.2より前の環境に関係しているようだと補足している。損失額や修正版はまだ公表されていない。
この記事では、何が起きたのか、なぜ運営が一斉にサーバーを止められないのか、利用者が今何を確認すべきかを順に整理する。自分でビットコイン決済を受け付けている事業者にとっては、他人事ではない話だ。
BTCPay Serverで何が起きたのか、停止要請までの経緯
X上で「調査が終わるまで止めてほしい」と警告
BTCPay Serverは、事業者がビットコイン決済を受け付けるための無料のオープンソースソフトだ。11月1日（日曜）、その公式アカウントがX上で利用者に向けて警告を発した。
警告の中身は、ホットウォレットの資金が無断で抜き取られているという報告だ。運営は、権限のない攻撃者によって「スイープ」されていると表現した。スイープとは、ウォレット内のコインを一度にまとめて外へ移されることを指す。
運営はそのうえで、サーバーを動かしている人は調査が終わるまで停止してほしいと求めた。停止には「./btcpay-down.sh」というコマンドを使う。ソフトの動作を止めるための命令で、調査完了まで止めたままにするよう呼びかけている。
現時点で運営は、被害額も影響を受けたサーバーの数も明らかにしていない。特定のバージョン名も挙げておらず、修正の告知もない。停止の呼びかけは、特定のバージョンに限らずすべての利用者が対象だった。
創設者が示した「2.4.2より前」という手がかり
警告から約2時間後、BTCPayの創設者ニコラス・ドリエ氏が追加の情報を出した。盗難の報告は「バージョン2.4.2より古いリリースに関係しているようだ」という。要は、2.4.2以降に更新していないサーバーが中心ということだ。
ただしドリエ氏は、新しいバージョンなら安全だとは言っていない。述べたのは、プロジェクト自身が運営する公開サーバー（バージョン2.4.7）は「攻撃を受けていない」という点だけだ。
同氏はさらに、被害を受けたサーバーでは攻撃者が管理者としてログインしていたと明かした。管理者アカウントは、設定変更から送金まで何でもできる最上位の権限だ。攻撃者がどうやってその権限を得たのかは、まだ分かっていない。
BTCPay Serverとホットウォレットの仕組み
仲介者なしで決済を受け取れるのが強み
BTCPay Serverの特徴は、決済代行業者のような仲介者を挟まない点にある。オープンソースなので、誰でも自分のサーバーにシステムを導入して運用できる。サーバーとは、ソフトを24時間動かし続けるためのコンピューターのことだ。
資産を第三者に預ける仕組み（カストディアン）がないため、事業者は顧客からのビットコインを自分のウォレットで直接受け取れる。手数料や口座凍結のリスクを避けたい事業者にとって、魅力的な選択肢だ。
一方で、この手軽さには2つのリスクがついて回る。1つ目がホットウォレット、2つ目が分散型であることそのものだ。順に見ていこう。
ホットウォレットは「金庫の鍵を店先に置く」ようなもの
ホットウォレットとは、インターネットに常時つながった状態のウォレットのことだ。BTCPayでは、各事業者のサーバー上にこのウォレットが置かれる。
「ホット」と呼ばれる理由は、シードフレーズがそのサーバーに保存されているからだ。シードフレーズとは、コインを送金するのに必要な秘密の合言葉のようなもの。これを持っていれば、ウォレットの中身を自由に動かせる。
BTCPayの公式ドキュメントにも、サーバーに保存したシードを使って自動で署名すると明記されている。署名とは、送金を承認するデジタル上のハンコだ。つまり、事業者が別の端末で確認しなくても、サーバーが単独でコインを送り出せるということだ。
便利な反面、サーバーに侵入した人は誰でも自分のアドレスへコインを送れてしまう。ドキュメントもこの機能に「DANGER（危険）」のラベルを付け、セキュリティ上の影響があると注意を促している。店の金庫の鍵を、誰でも入れる店先に置いておくような状態だ。
分散型だからこそ「一斉停止」ができない
全サーバーを止めるマスタースイッチがない
2つ目のリスクは分散型の構造にある。BTCPay Serverは、各事業者がそれぞれ自前のサーバーでソフトを動かしている。中央の運営会社がすべてのサーバーを管理しているわけではない。
そのため、問題が起きたときに全サーバーをまとめて止める「マスタースイッチ」が存在しない。銀行のシステムなら本部が一括で停止できる。しかしBTCPayには、その本部にあたる存在がいない。
今回、運営がSNSで「各自で止めてほしい」とお願いするしかなかったのはこのためだ。運営側が代わりにサーバーを止めることは、構造上できない。
安全管理は事業者ひとりひとりの責任
分散型は、特定の企業に依存しない自由と引き換えに、各事業者が自分のインフラを守る責任を負う仕組みでもある。アップデートの適用やパスワード管理、サーバーの監視まで、すべて運営者自身の仕事になる。
大企業なら専任のセキュリティ担当を置ける。だが、BTCPayの利用者には小規模なオンラインショップなども含まれると考えられる。更新が後回しになりやすい事業者ほど、今回のような攻撃に弱いという構図が見えてくる。
8月の脆弱性とBinanceハック、相次ぐ被害の文脈
8月にもLightningノードから資金が流出
BTCPayをめぐる騒動は、今年これが初めてではない。8月には、バージョン2.4.2より前のソフトにあった欠陥を突かれ、資金が盗まれたことをBTCPay自身が認めている。
この欠陥は、外部の人間がLNDの認証情報ファイルを入手できてしまうものだった。LNDとは、Lightning Network（ライトニングネットワーク）のノードを動かすソフトのこと。Lightningは、ビットコインの上に作られた高速な支払い用ネットワークだ。
認証情報ファイルは、ノードを操作するための合鍵のようなものだ。これを手に入れた攻撃者は、ノードを乗っ取って資金を動かせた。BTCPayはこの問題をバージョン2.4.2で修正している。
史上最大のBinanceハックから数日後
今回の件は、10月29日（木曜）に起きたBinanceのハッキング事件の直後でもある。この事件では60億ドルを超える暗号資産が流出し、業界史上最大の被害となった。
規模も手口もまったく異なる2つの事件だ。それでも短期間に続いたことで、暗号資産を扱うインフラ全体の安全性に改めて厳しい目が向けられている。
独自分析、今回の件から見えるリスクと利用者の備え
「2.4.2」という境界線が2度登場する意味
今回の被害と8月の欠陥は、どちらも「2.4.2より前」という同じ境界線で語られている。単なる偶然の一致とは限らない。
8月の修正後も、更新されないまま放置されたサーバーが一定数残っていた可能性がある。そうした古い環境が、改めて狙われたとの見方もできる。ただし管理者権限の取得経路は未判明で、2つの件の関係は現時点で確認されていない。
もう1つ押さえておきたいのは、ドリエ氏が最新版の安全性を保証していない点だ。「公開サーバーは攻撃されていない」と「最新版には穴がない」は同じ意味ではない。調査結果が出るまでは、バージョンに関係なく停止要請に従うのが現実的だと考えられる。
自己管理型の決済を使う事業者が確認したいこと
BTCPay Serverを運用している事業者は、まず呼びかけに沿ってサーバーを止め、公式の続報を待つことが第一だ。そのうえで、次のような点を確認しておきたい。
- 稼働していたバージョンが2.4.2より前かどうかを確かめる
- 管理者アカウントに見覚えのないログインや設定変更がないか調べる
- ホットウォレットにどれだけの残高を置いていたかを把握する
- BTCPayの公式アカウントや公式サイトからの続報を定期的にチェックする
一般論として、シードを保存したサーバーが侵害された疑いがあるなら、そのシードは漏れたものとして扱うのが安全側の考え方だ。別の安全な環境で作った新しいウォレットへの移行も、選択肢の1つになる。
長い目で見れば、ホットウォレットには日々の決済に必要な最低限の金額だけを置くのが基本だ。残りは、ネットから切り離して保管するコールドウォレットへ移しておく。自分で資産を管理する自由には、自分で守る手間が必ずついてくる。今回の件は、その原則を改めて突きつけた形だ。
この記事のポイント
- BTCPay Serverは、ホットウォレットから資金が抜き取られた報告を受け、全利用者にサーバー停止を求めた
- 創設者は被害がバージョン2.4.2より前に関係しているようだと説明したが、最新版の安全性は保証していない
- 被害サーバーでは攻撃者が管理者としてログインしており、侵入経路はまだ分かっていない
- 分散型の構造上、運営が一括でサーバーを止めることはできず、安全管理は各事業者の責任になる
- 8月にも2.4.2より前のバージョンで資金流出があり、更新の徹底とホットウォレット残高の最小化が重要になる
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。