旧版の脆弱性によりホットウォレットの資金が盗まれ、BTCPay Serverはユーザーに直ちの移行を推奨

Odaily星球日報の報道によると、オープンソースのビットコイン決済処理ツールBTCPay Serverは11月1日、同プラットフォーム上のビットコインおよびライトコインのホットウォレットから不正な資金盗難があったとの報告を複数受けた。11月2日、プロジェクトチームは調査の更新情報を発表し、攻撃がBTCPay Server 2.4.1バージョン以前を実行しているサーバーを対象としていたことを確認した。攻撃者は、8月7日に2.4.2バージョンで修正された脆弱性を悪用し、さまざまな方法でサーバー管理者権限を取得してホットウォレットの資金を空にした。BTCPay Serverの創設者Nicolas Dorier氏は、影響を受けたのは2.4.2より前のバージョン、特に2.4.1バージョンを実行しているサーバーのみであり、最新の2.4.7バージョンを実行しているユーザーからは信頼できる損失報告はまだ出ていないと確認した。LunaNodeを含む一部の影響を受けたサービスプロバイダーは、リスクのある旧バージョンのインスタンスを自動的に停止した。公式は、依然として2.4.1以前のバージョンを使用しているユーザーに対し、旧ホットウォレットに残っている資金を直ちに全新的なニーモニックで作成した新しいウォレットに移し、旧サーバーをオフラインにして関連ログを保持した後、全新的な仮想マシンに最新バージョンをインストールして新しいウォレットに接続するよう推奨している。旧サーバーを丸ごと新しいマシンに復元してはならない。ソフトウェアのバージョンを更新するだけではリスクを排除するのに不十分である。攻撃者が旧サーバー上で永続的なアクセス権をすでに取得している可能性があるためだ。ハードウェアウォレット内の資金など、サーバーの外部に保管されている資金は今回の事件の影響を受けていない。この脆弱性は今年8月に修正された脆弱性に関連しており、当時攻撃者はLNDの管理認証情報を取得してノードを操作していた。現時点で、この脆弱性にはCVE番号がまだ割り当てられておらず、CISAの既知の悪用された脆弱性カタログにも含まれていない。