BTCPay Serverは、オープンソースのビットコイン決済プロセッサーであり、2026年11月1日にハットウォレットからビットコインが盗まれたという報告を受け、緊急シャットダウン警告を発表した。プロジェクトの公式アカウントがUTC22:25頃に投稿したアラートは、侵害の原因が判明するまで./btcpay-down.shコマンドを使用してインスタンスをオフラインにするよう運営者に指示した。主要貢献者「Uncle Rockstar Developer」は、深刻さを強調し、「演習ではない：ハットウォレットを持っている場合はBTCPay Serverをシャットダウンしてください」と述べた。

BTC / USD
出典：CoinGecko。価格は参考値です。

調査はレガシーバージョンを指摘

創設者ニコラス・デュリエは、侵害されたデプロイメントが2.4.2以前のBTCPay Serverバージョンを実行していたことを明らかにした。彼は、フォレンジックトレースが攻撃者が古いリリースに存在する脆弱性を通じて管理者アクセスを取得したことを示していると述べた。対照的に、新しくリリースされた2.4.7版を実行している公開およびデモサーバーは影響を受けていないようで、侵害が最新コードの更新によって引き起こされたわけではないことを示唆している。以前のバージョン2.4.2は、認証されていないユーザーがLightning Network Daemonのマカロン資格情報にアクセスできる別の脆弱性を修正していたが、現在の盗難がその欠陥か別の古い問題に関係しているかは不明である。

AI駆動のセキュリティオーバーホールが事象の前に実施

緊急通知の数日前、BTCPay Serverは10月29日に2.4.7版をリリースし、Anthropicのオープンソースセキュリティスキャンイニシアチブで特定された85件の脆弱性を修正した。パッチは、1件の重大、13件の高、52件の中、19件の低の発見を対処した。AI支援レビューは、脆弱性発見における機械学習ツールの役割の拡大を強調したが、今回の事件はパッチ公開と運営者が実際に適用する間のギャップを浮き彫りにした。Coincardsを含む多くの商人は、警告後すぐにBTCPayインストールをオフラインにし、資金を保護するために支払い可用性を犠牲にした。

次に注目すべき点

BTCPayコミュニティは、盗難が既知の欠陥を利用したのか新しい攻撃ベクトルを利用したのかを明らかにするより詳細な技術報告を約束している。観測者は、商人がバージョン2.4.7および将来の更新をどれだけ迅速に採用するか、またビットコインインフラ全体からハットウォレットのベストプラクティスに関するガイダンスがどのように出るかを監視する。今回のエピソードは、独立して運営される決済サービスが急速に進化するAI駆動の脆弱性開示に追いつく能力についての広範な疑問を提起する。