BTCPay Serverの盗難、分かれ目は「更新」だけではなかった｜8月の注意喚起で「影響なし」とされるホットウォレットから、11月にBTCが盗まれた

お店などがBTCで支払いを受け取るためのソフト「BTCPay Server（ビーティーシーペイ・サーバー）」の開発チームは、11月2日、2.4.1以前の版を動かしているサーバーのホットウォレットから、ビットコイン（BTC）とライトコイン（BTCとは別の暗号資産）が盗まれたと公表しました。最初の報告を受けたのは11月1日です。攻撃者が突いたのは、8月7日に出た2.4.2で直されていた脆弱性（プログラムの弱点）で、それを「別の方法」で突いた、とされています。当校の11月2日〜8日分の週間まとめでも、BTCの項目で取り上げた出来事です（リンクは記事の最後にまとめています）。

「約3か月前に直っていた弱点で盗まれた」と聞けば、更新しなかった運営者の問題で、自分には関係ない、と読むのは自然です。ところが8月7日付の注意喚起を今読むと、「ホットウォレットは影響を受けない」と書かれています。そして11月の公表では、盗まれた財布と無事だった財布が、更新したかどうかとは別の線でも分かれています。この記事で持ち帰ってもらうのは、次のことです。

送金に必要な鍵が、インターネットにつながった機械の上にあるか、外にあるか。

そこから、「上にあるなら、置くのは日々使う分だけにする」「更新は『自分には関係ない』と書かれていても入れる」の2つが続きます。この2つは、BTCPay Serverの開発チームが自分の利用者に勧めていることを、当校が一般の形に言い直したものです（第7章）。

材料の中心は、開発チームの11月の公表、8月の注意喚起、公式ドキュメントのウォレットのページです（報道は第3章で1本だけ紹介します）。英語の原文の該当箇所を引用するので、読者が自分で確かめ直せます。

※ この記事は、BTCPay Serverや特定のウォレット・サービスの利用を勧めるものではありません。価格の見通しも示しません。英文の訳は当校によるものです。

塾長とミサキ

月曜の昼休み。会社の休憩スペースで、ミサキはお弁当のふたを開けたまま、予備校の週間まとめを読んでいた。BTCの欄の二つめの見出しで、箸が止まる。

ミサキ

「塾長、週間まとめのBTCPay Serverのところ、読みました。8月に直ってた弱点で、11月に盗まれたって……。それなら、更新しなかった人の不注意ですよね。私、サーバーなんて持ってないし、関係ない話かなって」

塾長

「そう読めるな。一つだけ聞かせて。8月に直したときの注意喚起に、『ホットウォレットが危ない』って書いてあると思う？」

ミサキ

「書いてた……んじゃないですか。直したくらいだし」

塾長

「8月の注意喚起、訳をつけて送る。最後の『まとめ』の段落だけでいい」

奥の電子レンジが鳴って、誰かが席を立った。ミサキは届いた訳を、まとめの段落までスクロールした。

ミサキ

「『ホットウォレットを含むオンチェーンのウォレットは、影響を受けない』……え、影響ないって書いてあります。すぐ更新しなきゃいけなかったのは、LNDを使ってる人……？」

塾長

「ライトニングのノード実装の一つだ。そこの認証ファイルが――」

ミサキ

「待ってください。それ、初心者には分かりません」

塾長

「悪い。ライトニングっていう、BTCPay Serverとは別の仕組みがあって、LNDはそれを動かすソフトの一つだ。8月に急げと言われたのは、それを使ってる人だった」

ミサキ

「それ以外の人には……『この件のためには更新しなくていい。ただ、更新は強く勧める』。これ、私が運営者でも、たぶん後回しにしてます」

塾長

「盗まれた人がそうしたのかは、決めつけないでおこう」

ミサキは週間まとめに戻って、「ホットウォレット」の説明を読み直した。インターネットにつながったサーバーの上で、送金に必要な鍵を管理する財布。

ミサキ

「『影響なし』って書かれてたのも、盗まれたのも、同じホットウォレット……。じゃあ、ホットウォレットじゃない人、鍵がサーバーの外にあった人は、どうなったんですか」

塾長

「11月の公表に書いてある。訳を送るから、開く前に一回、予想してみて」

1. 何が起きたのか

11月の公表の最初の段落は、次のとおりです。

On 1 November 2026, we received reports of Bitcoin and Litecoin being stolen from hot wallets on BTCPay Server. A hot wallet stores the keys needed to spend funds on the server itself.

2026年11月1日、BTCPay Serverのホットウォレットからビットコインとライトコインが盗まれた、という報告を受けた。ホットウォレットは、資金を送るのに必要な鍵を、サーバーそのものの上に保存する。

続く段落で、狙われた版と、使われた弱点が書かれています。

Our investigation found that these attacks targeted servers running BTCPay Server 2.4.1 (released on 23 July 2026) or earlier. The attackers used a different method to exploit the vulnerability fixed in 2.4.2, released on 7 August 2026.

調べた結果、これらの攻撃は、BTCPay Server 2.4.1（2026年7月23日公開）以前の版を動かしているサーバーを狙っていた。攻撃者は、2026年8月7日に公開した2.4.2で直した脆弱性を、別の方法で突いた。

盗まれた額、被害を受けたサーバーの数、「別の方法」の中身は、公表に書かれていません（第8章）。

2. 前提を2つだけ

BTCPay Server。 お店などが、BTCなどでの支払いを受け取るためのソフトです。公式ドキュメントは、お店（store）ごとにウォレットを持ち、請求（invoice）を作って支払いを受け取る使い方を説明しています。このソフトは、サーバー（ホスティング事業者から借りた仮想サーバーなど）の上で動かします。

ホットウォレット。 公式ドキュメントのウォレットのページは、送金するときの「署名」のしかたを4つ挙げています。ハードウェアウォレット、PSBTという形式に対応したウォレット、秘密鍵やシード（送金の鍵のもとになる情報）を自分で入力する方法、そしてホットウォレットです。ホットウォレットについては、こう書かれています。

when a hot wallet is created, it’ll automatically use the seed stored on a server to sign.

ホットウォレットを作ると、サーバーに保存されたシードを使って、自動で署名する。

同じ箇所には、「DANGER（危険）」の見出しで、次の注意があります。

Using the hot wallet feature comes with security implications; please be sure to read and understand them in the wallet protection documentation.

ホットウォレットの機能を使うことには、安全上の影響がある。その中身を、ウォレットの保護についての文書で必ず読み、理解してほしい。

つまりホットウォレットは、送金の鍵をサーバーの上に置き、送金の署名をサーバーに任せる置き方です。これに対して、ハードウェアウォレットやPSBTに対応したウォレットを使う方法では、ドキュメントの説明のとおり、署名をサーバーとは別の機器で行い、署名の済んだ取引をBTCPay Serverに戻します（当校の整理）。

3. 8月から11月まで（年表）

11月の公表の年表に、8月の注意喚起の日付を合わせました。時刻は公表のとおりUTC（協定世界時）です。

開発チームは、各運営者のサーバーを自分で止めるのではなく、ホスティング事業者と運営者に止めるよう頼んでいます。PYMNTS（2026年11月2日。CoinDeskの報道を伝えた記事）は、店ごとに自分のサーバーでソフトを動かしているため、何かあったときに押せる一斉の「master switch（大もとのスイッチ）」が無く、開発チームは運営者一人ひとりに停止を頼むしかなかった、と説明しています。更新も同じで、入れるかどうかは運営者に任されています（当校の見方）。

8月に書かれていたこと

ミサキが読んだのは、8月7日付の注意喚起のまとめの段落です。当校が11月10日に読んだ版で、ページの最後には「Last Updated: 11/2/2026」とあります。この段落が8月7日の公開のときから同じ文だったかは、当校は確かめられていません。

Other Lightning implementations and deployments that do not use Lightning are not exposed to the LND credential risk and do not need to update for this specific issue, but we strongly encourage them to install the update. BTCPay Server’s on-chain wallets, including hot wallets, are not affected.

ほかのライトニングの実装を使う人や、ライトニングを使っていない人は、LNDの認証情報のリスクにはさらされておらず、この件のために更新する必要はない。ただし、更新を入れることを強く勧める。ホットウォレットを含む、BTCPay Serverのオンチェーンのウォレットは、影響を受けない。

8月の注意喚起によると、2.4.2が直したのは、それより前のすべての版にある重大な脆弱性で、認証を通らずに、遠くからLNDの認証ファイル（LNDを操作するための鍵にあたるファイル）を取られうるものでした。この弱点はすでに悪用され、資金が盗まれていた、とも書かれています。同じ注意喚起には、開発チームは最初、念のためオンチェーンのウォレットからも資金を移すよう勧めたが、見直した結果、影響を受けるのはLNDだけだと確かめた、とも書かれています。上の「影響を受けない」は、この見直しの後の説明です。

11月に起きたこと

11月の公表は、狙われたのが「ホットウォレット」で、攻撃者は「2.4.2で直した脆弱性を、別の方法で突いた」と書いています（第1章の原文）。

並べると、こうなります。8月7日付の注意喚起で「影響を受けない」とされているホットウォレットが、11月には、同じ弱点を別の方法で突く攻撃で狙われた。言えるのは、この並びまでです。 盗まれた運営者が、8月の「この件のために更新する必要はない」を読んで更新を見送ったのかどうかは、この記事では決めつけません。

開発チーム自身は、11月の公表にこう書いています。

We wish we had done more to reach users still running older versions and alert them to the importance of updating.

古い版を使い続けていた利用者に届くよう、そして更新の大切さを伝えるよう、もっと手を尽くせばよかった。

4. 先に、1つだけ予想してください

ミサキと同じところで、止まってみてください。

11月の公表が、今回の盗難について「影響を受けなかった」とはっきり書いているのは、どちらでしょう。

① 11月1日の警告の時点で、すでに2.4.2以降に更新していたサーバー
② 送金の鍵を、サーバーの外（ハードウェアウォレットなど）に置いていた財布

ハードウェアウォレットは、送金の鍵をサーバーとは別の機器に置く財布の一種です。

決めてから、次へ進んでください。

5. 答え：②です

11月の公表は、こう書いています。

Funds in wallets whose spending keys are held off the server, including hardware wallets, were unaffected by these thefts.

送金の鍵をサーバーの外に置くウォレット（ハードウェアウォレットを含む）の資金は、今回の盗難の影響を受けなかった。

①を選んだ方へ。 その読み方にも根拠があります。公表は、①についてこう書いています。

If you were already running 2.4.2 or later when we issued our warning on 1 November: we have seen no impact from these attacks on those servers.

11月1日に警告を出した時点で、すでに2.4.2以降を動かしていた場合：それらのサーバーに、今回の攻撃による影響は見られていない。

①は「影響は見られていない（we have seen no impact）」、②は「影響を受けなかった（were unaffected）」です。どちらも良い知らせですが、①は開発チームが見た範囲の話として書かれています。この記事が「更新していれば必ず防げた」と書かないのは、このためです。

②でも、終わりではありません。 同じ段落の最後に、こう続きます。

The recommendation to rebuild an older server still applies even if you keep wallet keys elsewhere.

鍵をほかの場所に置いていても、古いサーバーを建て直すという勧めは変わらない。

公表の書き方を、版と鍵の置き場所の組み合わせごとに並べると、次のとおりです。

結果を分けた線は、2本ありました。サーバーの版と、鍵の置き場所です。古い版のままでも、鍵がサーバーの外にあった財布の資金は、影響を受けませんでした。鍵がサーバーの上にあった財布は、古い版のところで盗難が起きました。ミサキが会話の最後に聞いた「鍵がサーバーの外にあった人は、どうなったのか」の答えは、この公表の文です。

6. 2.4.1以前の運営者への、公式の勧め

公表は、2.4.1以前を動かしていた運営者に、新しいウォレットを作って残った資金を移したうえで、新しいサーバーへ移ることを強く勧めています。盗難に気づいていなくても、11月1日の警告の後に更新していても同じ、と書かれています。手順は次の4つです。

1. 新しいウォレットへ移す。 信頼できる機器と新しいシードで新しいウォレットを作り、古いホットウォレットに残った資金を移す。古いシードを新しいサーバーで使い回すと、その資金は危ないままになる。
2. 古いサーバーを止める。 調査のために、記録（ログ）と取引の記録を残してから入れ替える。
3. 新しい仮想サーバーを用意する。 信頼できる入手先から最新の版を入れ、新しいウォレットをつなぐ。古いサーバーを丸ごと新しいサーバーに戻さない。
4. パスワードやアクセスの鍵を替える。 信頼できる機器から、古いサーバーが使えたもの（ホスティング、SSH、アプリ、API、ライトニングなど）を取り消して替える。新しいものを古いサーバーで入力しない。

なぜ更新だけでは足りないのか。公表は、回復の案内を引いてこう書いています。

updating alone cannot remove access an attacker may already have gained. An unchanged wallet balance does not rule out an earlier attack.

更新するだけでは、攻撃者がすでに得たかもしれない入り口を取り除けない。ウォレットの残高が変わっていないからといって、以前に攻撃を受けていないとは言い切れない。

たとえるなら、玄関の鍵を新しくしても、すでに家の中に入っている人は出ていかない、ということです（当校のたとえ）。資金が盗まれた、または入られた形跡がある場合は、機械全体と、その中の秘密の情報をすべて破られたものとして扱い、すでに更新していても同じ手順をとるよう書かれています。

使っている版は、ログインして画面のいちばん下で確かめられます。借りた仮想サーバーで2.4.1以前を動かしていた場合は、ホスティング事業者に移行の手伝いを頼むよう書かれています。被害の報告先は security@btcpayserver.org で、シード・秘密鍵・パスワードは決して送らないように、とも書かれています。

7. 運営者ではない読者へ：自分に引き寄せた確認点

まず、範囲をはっきりさせます。今回の公表で対応を求められているのは、BTCPay Server 2.4.1以前を動かしていた運営者です。BTCPay Serverを動かしていなければ、公表された手順の対象ではありません。

そのうえで、運営者でない人も、このニュースから持ち帰れることがあります。BTCPay Serverの開発チームが自分の利用者に勧めていることを、当校が一般の形に言い直したのが、次の3つです。どの財布やサービスを使うかを勧めるものではありません。

1）送金の鍵は、インターネットにつながった機械の上にあるか、外にあるか。 今回、結果が分かれたのはこの線でした（第5章）。

2）上にあるなら、置いているのは日々使う分だけか。 公表は、ホットウォレットを使い続ける運営者に、こう勧めています。

If you need a hot wallet for daily operations, keep only the funds needed for those operations on the server and move the rest to a wallet whose spending keys are held off the server.

日々の運用にホットウォレットが必要なら、サーバーには運用に要る分の資金だけを置き、残りは送金の鍵がサーバーの外にあるウォレットへ移す。

3）更新は、「この件では関係ない」と書かれていても入れたか。 8月の注意喚起も、LNDを使っていない人に、更新は「強く勧める」と書いていました。11月の公表は、すべての利用者にこう頼んでいます。

With the rise in automated attacks using AI, we ask all users to be diligent about installing BTCPay Server updates as they are released.

AIを使った自動の攻撃が増えているので、すべての利用者に、BTCPay Serverの更新が出たら、こまめに入れるようお願いする。

8月7日付の注意喚起で「影響を受けない」とされているホットウォレットが、約3か月後に狙われました。「この件では関係ない」という知らせは、その件についての話で、同じ弱点の別の突き方まで「関係ない」と約束するものではありません（当校の見方）。

8. この記事で言えないこと

盗まれた額。 公表は、盗難の報告で見つかった送り先のアドレスを示していますが、その残高と取引の記録を、確定した被害の合計として扱わないよう書いています（”should not be treated as a confirmed total of losses”）。一部のやり取りは盗難より前のものに見え、どの取引がこの件に関わるかは確かめられていない、としています。当校も、額は書きません。

被害を受けたサーバーやお店の数。 当校は確かめられていません。

「別の方法」の中身。 攻撃者がどうやって弱点を突いたのかは、当校は確かめられていません。

攻撃がいつ始まったか。 公表は、攻撃者がいつから悪用を始めたかは確かめられていない、としています。

日本の利用者やお店に被害があったか。 当校は確かめられていません。

更新していれば、必ず防げたか。 公表が書いているのは、11月1日の警告の時点で2.4.2以降だったサーバーに「影響は見られていない」ことまでです（第5章）。

盗まれた運営者が、8月の説明を見て更新しなかったのか。 当校は確かめられていません（第3章）。

8月の注意喚起の「影響を受けない」が、8月7日の公開のときからあった文か。 ページの最終更新は11月2日で、当校は8月の時点の文面を確かめていません（第3章）。

価格への影響。 この記事では扱いません。

塾長とミサキ（続き）

休憩スペースの時計は、昼休みの残り十分を指していた。ミサキは塾長から届いた訳と表を、最後まで読んだ。

ミサキ

「読みました。鍵が外にあった財布は、影響なし。でも、そういう人もサーバーは建て直して、って書いてあるんですね。無事だった人にも、やることがあるんだ」

塾長

「財布が無事でも、機械に誰か入ったかどうかは、別に確かめるってことだ」

ミサキはメモアプリを開いて、少し考えてから一行だけ打った。「鍵は、ネットにつながった機械の上か、外か」

ミサキ

「置き場所って、誰に預けるかの話だと思ってました。自分で持っても、鍵をどこに置くかがまだあるんですね。……いつか私が自分で持つときの財布って、上と外、どっちになるんですか」

塾長

「それは、選ぶときに画面を見ながら一緒に確かめよう」

今日できること

BTCPay Serverを動かしていない方

次に「〇〇は影響を受けない」という知らせを見たら、次の3つを思い出す
① 自分のお金を送る鍵は、インターネットにつながった機械の上にあるか、外にあるか
② 上にあるなら、置いているのは日々使う分だけか
③ 「この件では更新しなくていい」と書かれていても、更新は入れたか

自分で鍵を持つ財布をまだ使っていなければ、①〜③は、いつか自分で持つときのための確認点です。

BTCPay Server 2.4.1以前を動かしていた方

① 盗難に気づいていなくても、11月1日の後に更新していても、公表の手順で新しいサーバーへ移る
② 信頼できる機器と新しいシードで新しいウォレットを作り、古いホットウォレットに残った資金を移す（古いシードは使い回さない）
③ 古いサーバーは記録を残してから止め、新しい仮想サーバーに最新の版を入れる。古いサーバーを丸ごと戻さない
④ 古いサーバーが使えたパスワードやアクセスの鍵を、信頼できる機器から替える
⑤ 鍵をサーバーの外に置いていた場合も、古いサーバーの建て直しは必要

この記事の一次情報

英文の訳は当校によるものです。

一次情報（BTCPay Serverの開発チームの公表・注意喚起・公式ドキュメント）

• BTCPay Server「Security Incident Affecting BTCPay Server 2.4.1 and Earlier」（2026年11月2日公表）：11月1日に、ホットウォレットからビットコインとライトコインが盗まれた報告を受けたこと。ホットウォレットは送金の鍵をサーバーの上に置くこと。狙われたのは2.4.1（7月23日公開）以前で、2.4.2（8月7日公開）で直した脆弱性を別の方法で突いたこと。古い版の利用者への知らせ方についての開発チームの反省。2.4.2以降には影響が見られていないこと。2.4.1以前への勧め（新しいウォレットと新しいサーバー、4つの手順）。鍵がサーバーの外にある財布は影響を受けなかったこと、それでも古いサーバーは建て直すこと。更新だけでは入り口を取り除けないこと。年表（UTC）。送り先アドレスの残高を被害の合計として扱わないこと。報告先。更新をこまめに入れるお願い。ホットウォレットには日々の運用に要る分だけを置くこと。
• BTCPay Server「Security Advisory: Update BTCPay Server to 2.4.2 Immediately」（2026年8月7日付）：2.4.2が、それより前のすべての版にある重大な脆弱性を直したこと。LNDの認証ファイルを取られうるものだったこと。悪用され、資金が盗まれていたこと。最初の勧めを見直し、影響はLNDだけと確かめたこと。LND以外の人は「この件のためには更新しなくてよいが、更新を強く勧める」こと。ホットウォレットを含むオンチェーンのウォレットは影響を受けないとされたこと。
• BTCPay Server公式ドキュメント「BTCPay Server Wallet」：お店ごとのウォレット。署名の4つの方法。ホットウォレットはサーバーに保存したシードで自動で署名すること。ホットウォレットの機能には安全上の影響がある、という注意（DANGER）。

二次情報（報道）

• PYMNTS「BTCPay Warns of Attacks on Crypto Payment Servers」（2026年11月2日。CoinDeskの報道を伝えた記事）：店ごとに自分のサーバーでソフトを動かすため、一斉に止める「master switch」が無く、開発チームは運営者一人ひとりに停止を頼むしかなかった、という説明（第3章）。

この記事が確認していないこと

• 盗まれたBTC・ライトコインの合計額
• 被害を受けたサーバー・お店の数
• 攻撃者が使った「別の方法」の中身
• 攻撃がいつ始まったか
• 日本の利用者・お店に被害があったか
• 盗まれた運営者が更新を見送った理由

当校の関連記事

• 2026年11月第2週｜BTC・ETH週間まとめ：この記事の題材を取り上げた週間まとめ
• ミサキの0からクリプト 第8話｜ミサキ、置き場所を考える：暗号資産の「置き場所」は、誰に預けるかを選ぶこと

この記事は情報提供のみを目的としており、特定の暗号資産・金融商品の売買や、特定のソフト・ウォレット・サービスへの登録・利用を勧めるものではありません。価格の見通しは示していません。