本文へ移動

インシデント盗難報告・対応中続報

旧版BTCPay Serverで暗号資産の盗難報告　開発元はサーバー再構築を推奨

決済サーバー上で鍵を管理していたウォレットから、ビットコインとライトコインが盗まれたとの報告がありました。攻撃対象は2.4.1以前です。

対象となる人

自社・店舗の決済にBTCPay Serverを使い、11月1日（UTC）の警告時点で2.4.1以前を運用していた担当者。警告後に更新した環境も対象です。1

今すべきこと

公式の案内

旧版なら決済サーバー上のウォレットの残金を、信頼できる端末で作った新しいウォレットへ移します。旧サーバーを停止してログを残し、新しい環境に最新版を導入してください。1

初回公表: 2026.11.01
参照情報の更新: 2026.11.02
当サイトの確認: 2026.11.04

#BTCPay Server #暗号資産 #決済 #ホットウォレット

押さえたい、3つのポイント

攻撃対象は2.4.1以前
8月に2.4.2で修正された欠陥が別の方法で悪用されました。11月1日の警告時点で既に2.4.2以降だったサーバーでは、今回の攻撃による影響は確認されていません。1
被害が見えなくても旧版は再構築
警告後に更新していても、侵入者のアクセスが残るおそれがあります。開発元は残金を新しいウォレットに移し、旧サーバーを停止してログを保存するよう案内しています。1
鍵をサーバー外で保管した資金への影響
ハードウェアウォレットなど、送金に必要な鍵をサーバー外に置いた資金は今回の盗難の影響を受けていません。この場合も旧版サーバーの再構築を推奨しています。1

公式ソースを確認する

1BTCPay Server開発元の調査報告・復旧手順（11月2日） ↗blog.btcpayserver.org

𝕏 でシェア

もう少し詳しく

対応と調査の経緯: 開発元は11月1日（UTC）に盗難の報告を受けて同日中に警告。翌2日に攻撃対象の版と復旧手順を公表しました。攻撃開始時期と被害総額は確定していません。1
新しい環境へ移行する際の注意: 信頼できる端末で新しいシードを使ってウォレットを作成し、残金を移します。新しい仮想マシンにはサポート中の最新版を導入し、旧環境のパスワードやAPIキーなどを失効・再発行してください。1

海外事案。攻撃先アドレスの残高から被害総額を算出せず、国内の被害件数にも加算しません。