スイスのビットコインペイの停止により、仲介者なしでの支払いにおける隠れたリスクが明らかになった。

8月の金曜日の朝、店舗主がチェックアウト時にビットコインを使用できる小さなスイスの会社が、サーバーを停止しました。Swiss Bitcoin Payは、内部システムが侵害された可能性があると述べています。誰が内部にいるかわからない時には、電力を切ることが最善の対応です。また、この週の他の日々でも明らかになったように、これが唯一安全な対応策でした。なぜなら、その会社が使っているソフトウェアが、商人のウォレットからお金を失う原因となっていたからです。

出血の程度は、「コルトハック」という言葉が示唆するほど悪くなかった。Swiss Bitcoin Payは、巨大な取引所ではない。それは、オープンソースで自己ホスト可能な支払いプログラムであるBTCPay Serverを基盤とした、軽量なPOSツールに過ぎない。何千もの小規模な商人が、決済処理業者に支払いをすることを避けるために、このツールを利用しているのだ。8月7日、BTCPayは、ネットワーク上で重大な脆弱性が利用されていることを明らかにした。運営者に対する指示は非常に明確だった。直ちに修正されたバージョンにアップグレードするか、サーバーをオフラインにする必要があります。スイスのビットコインペイのサービス停止は、二番目の選択肢でした。

レールに欠陥があるだけで、コインには問題なし

何が盗まれたのかを理解するためには、ライトニング決済の仕組みを知っておくことが重要です。ライトニングとは、ビットコインの即時でほぼ無料の決済手段であり、一種の決済チャネルネットワークです。ライトニング通貨を受け入れるには、商人がLNDというソフトウェアプログラムを実行し、そのプログラムはmacaroonsと呼ばれる認証ファイルによって認可されます。欠点は…攻撃者が、影響を受けたサーバーからその認証情報を取得し、それを使って連携しているウォレットにアクセスし、そこにある資金を移動させることができる。.

怖いのは、タイミングの問題です。いくつかのケースでは…盗難は、誰かが公に警告される数時間前に起こった。. ハードウェアウォレット製造会社であるFoundationによると、彼らのLightningノードが一晩で破壊されたそうです。— そのチャネルは、会社が眠っている間に閉じられ、空になった。ビットコイン関連の雑誌『Citadel21』も同じことを報じている。独自の決済ノードを運営するVPNプロバイダーIVPNも同様だ。運営資金の半分以上を失い、4日間にわたってライトニング決済機能を停止した。IVPNは、別のインフラ上で顧客データベースを管理しているため、いかなる顧客資金や支払い情報も触れられていません。特に、IVPNは自社を「」と表現しています。その日、数人の商人のうちの一人がそれに遭った。そして、これはビットコインインフラにとって悪い月の終わりでした。それ以降は…人気のハードウェアウォレットにあった、ビットコイン資産からお金を盗んだという別の欠点。.

BTCPayのユーザーがどれだけのお金を失ったかについては、公的なデータはありません。しかし、影響を受けたレールには実際のお金が含まれています。例えば、ドメイン登録業者であるNamecheapなどです。2020年5月から2024年10月までの間に、BTCPayを通じて7300万ビットコインの収入を得ている。これは、余計なものではなかった。

エクスポージャーを説明するピッチ

ここが、逆説的な点です。被害を受けた商人たちは、偶然にそのような状況に置かれたわけではありません。彼らは意図的にそのような状況に置かれることを選んだのです。なぜなら、このモデルには価値あるものが期待できるからです。つまり、お金は一切仲介者を経ずに手元に残るのです。

BTCPayは、まさにその約束に基づいて作られています。「企業ではなく、コード」です。商人と顧客の間に第三者がいない場合、商人が資金を完全に管理する。オペレーターは自分のキーを保持し、手数料も支払わず、また、凍結や没収される可能性のある保管機関に何も預ける必要もありません。スイスのBitcoin Payも同じように自社のサービスを提供しています。管理不要、自由に始められ、ハードウェアは不要「100ドルを請求する商人は、実際には100ドルを受け取る」というスローガンで。顧客のお金が直接あなたの手に渡り、どこにも仲介者が介入しない場合、中間者がハッキングされることはありません。

しかし、仲介者もまたリスクを吸収する存在です。カード業界では、何かが失敗した場合――詐欺や端末の不具合、プロセッサーの停止など――商人と損失との間にネットワークや銀行、または請求規則が介在します。それらをすべて取り除けば、商人は自らのプロセッサー、自らのネットワーク、自らの銀行となります。支払いソフトウェアのバグは、もはや商人の問題ではなくなります。それは、単一の当事者が管理するウォレットに直接、即座に与える損失です。製品を魅力的にする特徴というのは、そのバグが発見される瞬間に、完全で回復不可能な損失に変わってしまうという特徴です。誰もがその対極を持っているわけではありません。

実際にその値がどこにあるか

ここで、このエピソードは、単なる小さなスイスのアプリに関する話から、より実用的なものへと変わる。自己ホストモデルを提供する企業は、そのモデルを通じて得られる収益のほとんどを得られない。railsは無料でオープンソースであり、POSアプリは、支払いの一部を取らないと宣伝しているため、実際にはカードや便利さといった手段によって収益を得ている。つまり、持続的な価値は、その流れの中にあるのではなく、キーを安全に運用し、障害を受け入れ、ソフトウェアが故障したときでもオンラインで機能することにある。

だからこそ、この事件は、その被害よりも重要なのです。これは、ビットコインの決済インフラにおいて、貴重な資源とは技術ではなく、誰でも自由に入手できるものであり、また、コストがかからないという点でもありません。貴重な資源とは、運用の完全性です。つまり、鍵を握っている人が誰か、そしてゼロコストの約束がゼロデイ問題に直面したときにどれだけの損失が生じるかということです。商人に完全な権限と無料サービスを提供するアプリは、実際には、商人が受けるべき保護を奪ってしまうのです。

投資家がこのカテゴリーを検討する際に重要なのは、ビットコイン決済が増加しているかどうかではありません。重要なのは、どこが鍵を持ち、どれだけのリスクを負うかです。有望な可能性を持つものと、単なる幻想に過ぎないものを区別する基準は、どれだけの商人が利用しているかではなく、悪い日には商人のお金がどうなるかです。中間業者を排除するために作られたシステムでは、悪い日は他の誰も対応できない状況です。