BTCPay Serverは、2.4.2以前の全バージョンを利用しているユーザーから資金が盗まれたことを確認し、重大な脆弱性を悪用されたと発表した。運営者に対して直ちにアップデートを行うよう強く呼びかけている。
セルフホスト型のビットコイン決済プロセッサーである同プロジェクトは、この脆弱性を修正するためにバージョン2.4.2をリリースした。この問題により、認証されていないリモート攻撃者が、一般的なライトニングネットワーク実装であるLND用の.macaroon認証情報ファイルを取得できる状況にあった。
BTCPay Serverユーザーが取るべき対応
盗まれた認証情報により、攻撃者はLNDノードを完全に制御できる。攻撃者はノードから直接資金を移動させることが可能になる。
「本脆弱性を悪用した攻撃が確認されている。ユーザーが被害を受け、資金も盗まれた。運営者にアップデートの時間を確保してもらうため、現時点では技術的な詳細は非公開とする」とBTCPay Serverチームは述べた。
今回のリスクはLNDを使った導入環境に限定される。他のライトニングネットワーク環境やライトニング非対応ユーザーには認証情報漏えいのリスクはないものの、プロジェクト側はすべての利用者にアップデートを推奨している。BTCPay Server自身のオンチェーンおよびホットウォレットは影響を受けていない。
LNDを使用している運営者は、メンテナンスダッシュボードからバージョン2.4.2およびLND 0.21.1にアップデートする必要がある。アップデートを行うことで、マカロン認証情報は自動的に再生成される。直ちにパッチ適用できない場合は、サーバーをオフラインにするよう求められていた。
プロジェクト側では、LNDユーザーに対して、不審なピアや予期せぬチャネル閉鎖、自身が行っていない送金などノードの挙動を確認することも推奨している。
ビットコイン自己管理に再び打撃
今回の開示は、別の大規模なセキュリティ事故に続くもの。ギャラクシー・リサーチによると、金曜日までにコールドカード利用者から合計1719ビットコイン（約1億1100万ドル相当）が盗まれたことが判明している。未確認の事案が全て確認されれば、被害総額は1億3000万ドルを超える見通し。
いずれの事案もビットコイン・プロトコル自体には影響していない。だが、その周辺に構築されたツールの弱点が露呈した。
YouTubeチャンネル登録でリーダーやジャーナリストによる専門的なインサイトを視聴可能
