一部ユーザー資金盗難受け追加対応を発表
ビットコイン（Bitcoin）決済ソフトウェア「BTCペイサーバー（BTCPay Server）」の脆弱性が悪用され、一部ユーザーのLNDウォレットから資金が盗まれたと、BTCペイサーバープロジェクトが公式Xで日本時間8月8日に発表した。
BTCペイサーバーは、事業者などが第三者の決済代行事業者を介さず、ビットコインやライトニングネットワークによる決済基盤を自ら構築・運用できるオープンソースソフトウェアだ。
公式発表によると、今回の被害はBTCペイサーバーの重大なセキュリティ脆弱性を悪用した攻撃によるものとのこと。一部ユーザーの資金が盗まれたことを確認しており、同日には脆弱性を修正した「BTCペイサーバー2.4.2（BTCPay Server 2.4.2）」を公開するとともに、利用者へ速やかなアップデートを呼びかけた。
その後、同プロジェクトは日本時間8月11日、被害回復に向けた追加対応を発表した。同プロジェクトの友人・支援者が、盗難資金の回収につながる情報提供者を対象に、回収額の10%（上限3BTC）の報奨金を拠出すると表明した。対象には攻撃者自身も含まれる。
また、BTCペイサーバー財団（BTCPay Server Foundation）は、今回の脆弱性を責任ある形で報告したクレイグ・ロー（Craig Raw）氏に0.21BTC、オープンサッツ（OpenSats）の「レッド・チーム・ファンド（Red Team Fund）」に0.21BTCを寄付すると発表した。
さらに同開発チームは、暗号資産（仮想通貨）取引所やブロックチェーン分析事業者、法執行機関と連携し、盗難資金の追跡や凍結を進めているとのこと。
被害を受けたユーザーには、オンチェーンアドレスやトランザクション情報の提供に加え、各国の法執行機関への届け出や、盗難資金の送付先となった取引所などへの連絡も呼びかけている。
今後は、外部組織の協力を得ながらコードスキャンやレビュー体制を強化する。当面は大型機能の追加よりも、セキュリティパッチの提供や保護機能の強化を優先する方針とのこと。
LND利用環境で認証情報漏えいと資金盗難リスク
今回確認された資金盗難リスクは、ビットコインの少額・高速決済を実現するライトニングネットワークのソフトウェア実装の一つ「LND」を利用する環境に限定される。一方、BTCペイサーバーのオンチェーンウォレット（ホットウォレットを含む）は影響を受けないとのこと。
今回の脆弱性自体は、BTCペイサーバー2.4.2より前のすべてのバージョン（2.4.2のリリース候補版を含む）に存在していた。一方、LND認証情報の漏えいや資金盗難のリスクは、LNDを利用する環境が対象となる。
この脆弱性により、攻撃者がLNDノードを不正に制御し、資金を移動できるおそれがあったとのこと。具体的には、認証されていないリモート攻撃者がLNDの認証情報「.macaroon」ファイルを取得できる可能性があり、その認証情報を利用してLNDノードへアクセスできる状態だったという。
BTCペイサーバープロジェクトの開発チームは当初、慎重を期してBTCペイサーバーのオンチェーンウォレットから資金を移動するよう案内していた。その後の調査により、影響を受けるのはLNDを利用する環境のみであることを確認したとのこと。BTCペイサーバーのオンチェーンウォレットは影響を受けない一方、LNDが管理するオンチェーンウォレット内の資金については、引き続きリスクの対象になるとのこと。
LNDを利用しているユーザーには、「BTCペイサーバー2.4.2（BTCPay Server 2.4.2）」へのアップデートを呼びかけている。標準的なBTCペイサーバー環境では、同アップデートによりLNDもバージョン0.21.1へ更新され、認証情報「macaroon」が自動的に再生成されるという。一方、独自のリバースプロキシやTorサービス、ポート転送などを通じてLNDを外部公開している場合は、認証情報を手動で更新する必要がある。すぐにアップデートできない場合は、サーバーをオフラインにするよう求めている。
一方、LND以外のライトニングネットワーク実装を利用しているユーザーや、ライトニングネットワークを利用していないユーザーは、今回のLND認証情報に関するリスクの影響を受けないとのこと。ただし、これらのユーザーについてもBTCペイサーバー2.4.2へのアップデートを推奨している。
なお、BTCペイサーバープロジェクトは日本時間8月14日、追加のセキュリティ更新を含むリリース候補版「BTCペイサーバー2.4.3-rc4」を公開した。リリース候補版のため不具合が残る可能性はあるものの、同プロジェクトは更新を強く推奨している。
There is a critical vulnerability being actively exploited on BTCPay Server, which can result in the loss of funds.
— BTCPay Server (@BtcpayServer) August 7, 2026
Please update your BTCPayServer to 2.4.2 by going to Admin Dashboard -> Server -> Maintenance -> Update & verify the 2.4.2 version string in the footer.
If you…
We’re donating 0.21 BTC to @craigraw and 0.21 BTC to the Bitcoin Red Team for their responsible security disclosure of the recent critical vulnerability.
— BTCPay Server (@BtcpayServer) August 10, 2026
In addition, friends and supporters of the BTCPay Server project have committed to funding a bounty to recover the stolen… pic.twitter.com/qhs8zwoCvM