BTCPay Serverの重大な脆弱性でLightning決済サーバーが攻撃被害
ビットコインの決済インフラであるBTCPay Serverを使うLightningノードが攻撃を受け、資金が流出した。攻撃者はLNDを稼働させるサーバーから認証情報を取得し、Lightningノードを操作してチャネル内のビットコインを移動させた。運営者には、BTCPay Serverをバージョン2.4.2へ更新するか、サーバーをオフラインにする対応が求められている。
未認証アクセスでLNDのmacaroonファイルが流出
今回の問題は、認証されていない遠隔の攻撃者がLNDの「.macaroon」ファイルへアクセスできた点にある。macaroonは、ソフトウェアがLNDノードに接続し、支払いなどの操作を実行するための認証情報だ。これを盗まれると、攻撃者がノードを制御し、Lightningチャネルを閉じたり、資金を移動させたりできる可能性がある。
影響範囲は、LNDを使うBTCPay Serverの構成に限定される。BTCPay Server内で生成した通常のオンチェーンウォレットは、この認証情報の脆弱性による直接的な影響を受けないと説明されている。ただし、LND自身のオンチェーンウォレットに保管された資金は、侵害されたLightningノードの管理下にあるため、リスクが残る。
FoundationとCitadel21のLightningノードも被害
BTCPayは、攻撃によって実際に資金が盗まれたことを確認した。一方で、被害を受けた利用者数や流出したビットコインの総額は公表していない。
ハードウェアウォレットメーカーのFoundationは、BTCPay上のLightningノードが一晩で資金を抜き取られ、チャネルが閉じられたと明らかにした。同社のBTCPayオンチェーン・ホットウォレットは被害を受けなかった。ビットコイン関連メディアのCitadel21もLightningノードが掃き出されたと報告したが、保管額は少なかったとしている。
There is a critical vulnerability being actively exploited on BTCPay Server, which can result in the loss of funds.
— BTCPay Server (@BtcpayServer) 2026年8月7日
Please update your BTCPayServer to 2.4.2 by going to Admin Dashboard -> Server -> Maintenance -> Update & verify the 2.4.2 version string in the footer.
If you…
日本の事業者が確認すべきLNDとBTCPayの運用リスク
Lightning Networkは、ビットコインのブロックチェーン上に構築された決済ネットワークであり、通常のオンチェーン送金より高速かつ低コストの決済を目指す仕組みだ。店舗やサービス事業者が導入する場合、ノードの秘密鍵や認証情報をサーバー上で管理する必要があるため、ソフトウェアの脆弱性は直接的な資金リスクにつながる。
日本でLNDを利用している事業者や個人は、まずBTCPay Serverのバージョンを確認し、2.4.2への更新を優先すべきだ。すぐに更新できない場合は、該当サーバーをネットワークから切り離す判断が必要になる。更新後も、チャネル残高やウォレットの履歴、権限設定に不審な操作がないかを確認することが重要だ。
今回の脆弱性は、Bitcoin Red TeamのメンバーがBTCPayへ報告した。BTCPayは、Craig Raw、Rob Hamilton、Calle、Evan Kaloudisの協力を受けて調査している。技術的な詳細は運営者が修正する時間を確保するため、まだ公開されておらず、今後数日以内に完全な事後報告が予定されている。
出典：CoinDesk
