BTCPay Serverの重大脆弱性でLightningノードが不正送金被害——8月のインシデント全容と緊急対応策

BTCPay Serverの脆弱性：API認証層のロジックエラー

2026年8月7日（金）、オープンソースの自己管理型Bitcoin決済処理プラットフォーム「BTCPay Server」に重大な脆弱性が存在し、すでに悪用が始まっていることが公式から発表されました 。この脆弱性は、外部連携システムや自動化ツール、ウォレットバックエンドがサーバーと通信するためのインターフェース「Greenfield API」の認証層におけるロジックエラーに起因します 。

具体的には、この不備により、認証を必要としないリモートの攻撃者が、Lightning Network実装の主流である「LND（Lightning Network Daemon）」の**.macaroon認証情報ファイル（権限管理トークン）** を外部に持ち出すことが可能でした 。攻撃者はこのマカロン認証情報を入手すると、接続されているLNDノードを完全に制御し、チャネル残高を任意のアドレスに送金できたのです 。

この脆弱性は、セキュリティ研究チーム「Bitcoin Red Team」によって発見され、責任を持ってBTCPay Serverチームに報告されました 。

重要な補足： これはあくまでBTCPay Serverというソフトウェア（アプリケーション層）の脆弱性です。Bitcoinの基盤プロトコル自体やLightning Networkのプロトコルそのものが破られたわけではありません 。攻撃対象は自己管理型決済処理プラットフォームの認証ロジックであり、BlockchainやLightning Networkの根本的な欠陥ではありません。

影響を受けたのは誰か

この脆弱性の影響は、LNDを利用している特定の構成に限定されました 。

• 影響あり： BTCPay Serverのバージョン2.4.2未満（リリース候補版を含むすべての旧バージョン）でLNDを稼働させているマーチャント、仮想通貨取引所、ウォレットバックエンド。さらに、攻撃者にサーバー全体を乗っ取られた場合、BTCPayで生成したオンチェーンのホットウォレットもリスクにさらされました 。
• 影響なし： LNDを実行していない、またはLightning Networkを一切利用していないユーザーは、今回の認証情報窃取のリスクにはさらされていません 。

有名なBitcoin関連組織のいくつかも被害を確認しています。ハードウェアウォレットメーカーのFoundation、Bitcoin専門の出版メディアCitadel21は、自社のLightningノードが不正送金被害に遭ったことを認めています 。

運用者に求められた緊急対応

BTCPay Serverの開発チームとリードメンテナーのNicolas Dorier氏は、運用者に対して以下の2点を求める緊急勧告を発表しました 。

1. ただちにアップデートすること——管理ダッシュボード（Admin Dashboard → Server → Maintenance → Update）からバージョン 2.4.2 にアップグレードし、フッターにバージョン文字列が表示されていることを確認する 。
2. すぐにアップデートできない場合はサーバーをシャットダウンすること 。

加えて、パッチを適用するだけでは不十分であることが強調されました。パッチは新たな認証情報の窃取を防ぐだけであり、既に脆弱性の悪用期間中に盗まれた認証情報は依然として有効で、攻撃者は引き続きそれを使って資金を移動できます 。そのため、運用者はすべてのLNDマカロン認証情報を失効させ、再発行することが必須とされました。また、BTCPayのウォレット追跡バックエンド「NBXplorer」をバージョン2.6.10にアップグレードすることも推奨されています 。

同一週に発生した他のBitcoin決済層セキュリティインシデント

今回のBTCPay Serverの悪用事件は、約10日間にわたってBitcoinインフラストラクチャを襲った一連の重大なセキュリティ侵害のうちの2件目でした。現地メディアの中には、この時期をBitcoinの「脆弱性週間（exploit week）」と呼ぶところもあります 。

Coldcardハードウェアウォレットのファームウェア欠陥（7月30日～8月3日）

Coldcardのファームウェアバージョン4.0.0（2021年3月から存在）に深刻な脆弱性が発見されました。この欠陥により、デバイスは鍵生成時に専用のハードウェア乱数生成チップをバイパスし、代わりに予測可能なソフトウェアベースの乱数を使用してしまいました 。このため、攻撃者がシードフレーズを総当たりで推測できる状態になっていました。

攻撃者はこの脆弱性を悪用し、7月30日から4波にわたる不正送金を実行。5,200以上のアドレスから1億1600万ドル超のBitcoinを盗み出しました 。ブロックチェーンインテリジェンス企業Galaxy Researchはオンチェーン上の資金の流れを追跡し、少なくとも15の異なる攻撃者がこの欠陥を悪用したと特定しています 。各報道機関の評価時点での時価に基づき、被害総額は1億1600万ドルから1億3000万ドル超と推定されています 。

ボランティア主導の大規模セキュリティ監査（8月8日）

ColdcardとBTCPayの両インシデントを直接の契機として、有志のBitcoin開発者グループがAIツールを活用した協調的なセキュリティ監査を開始しました。開始から24時間以内に、約400プロジェクトに及ぶ約5,000件のセキュリティ脆弱性が特定され、その状況は「極めて深刻（extremely bad）」と評されました 。内訳は深刻度クリティカルが85件、深刻度ハイが635件で、そのほとんどはすでに各プロジェクトの管理者によって確認されています 。

Bitcoin運用者への重要な教訓

1. 緊急勧告が出たら即座にパッチを適用する。 BTCPayチームは積極的な悪用について透明性をもって報告しましたが、パッチ適用を遅らせた運用者の中には実際に被害が確認されたケースがあります 。
2. 認証情報の失効はパッチ適用と同じくらい重要である。 脆弱性を塞ぐパッチは、既に盗まれた認証情報を無効化するものではありません。BTCPay Serverのアップデート後も、運用者はLNDのマカロンをすべて失効・再発行する必要がありました 。
3. レイヤー2のセキュリティはレイヤー1運用者の注意深さに依存する。 Lightning Networkプロトコル自体は侵害されていませんでしたが、BTCPayのAPIを通じた認証情報の漏洩は、自己管理型決済ソフトウェアの弱点がLightningユーザーの資金喪失に直結し得ることを示しました 。
4. エコシステムは自らの手で監査を行っている。 ボランティア主導のAIセキュリティ監査が約400プロジェクトで約5,000件の脆弱性を発見したことは、問題の規模の大きさと同時に、コミュニティが問題解決に積極的に取り組む姿勢を示しています 。

BTCPay Serverのインシデントと同時期に発生したColdcardの脆弱性悪用事件は、Bitcoinインフラストラクチャのセキュリティにとって分水嶺となる出来事でした。これらの事件は、オープンソースのBitcoinエコシステム全体において、より厳格なコードレビュー、自動化されたセキュリティツール、そして迅速な対応プロトコルの必要性を強く求める声を高めることになりました。