BTCPay Serverの重大な脆弱性がビットコインのエクスプロイト週に加盟店のLightningノード資金を流出

BTCPay Serverの重大な脆弱性により、攻撃者はLNDを実行するLightningノードから資金を盗むことが可能となり、運用者に対してバージョン2.4.2への即時更新またはサーバーのオフライン化が緊急に指示された。

この欠陥は、LNDの「.macaroon」クレデンシャルファイル（ソフトウェアにLND Lightningノードとの相互作用を許可するトークン）への認証なしのリモートアクセスを可能にしていた。これらのクレデンシャルを入手した攻撃者は、対象ノードの制御を奪い、チャネルを閉じて資金を抽出できた。BTCPayは金曜遅くに資金が盗まれたことを確認し、Xの投稿で攻撃を公表した。

BTCPay Serverは、加盟店が第三者決済プロバイダーに依存せずビットコインを受け取れるようにする、広く利用されているオープンソースのセルフホスト型決済プロセッサーである。日常的な商取引においてBTCPayに依存する加盟店にとって、この脆弱性は、カウンターパーティリスクを排除するために設計されたツール（資金のセルフカストディ）自体が攻撃ベクターになったことを意味した。

BTCPayの標準のオンチェーンウォレット（アプリケーション内で生成されたホットウォレットを含む）は、このクレデンシャルの欠陥による影響を受けなかった。影響はLNDを使用するデプロイメントに特化しており、LNDはLightningノードを運用するための最も広く使われているソフトウェア実装である。ただし、LND自身のオンチェーンウォレットに保持されている資金は、乗っ取られたLightningノードの制御下にあるため、依然としてリスクにさらされる。

プロジェクト側は、影響を受けたユーザー数や盗まれたビットコインの量を公表していない。

既知の被害者

ハードウェアウォレットメーカーのFoundationが被害者の1社であった。最高経営責任者のZach Herbertは述べており、攻撃者は夜間に同社のBTCPay Lightningノードの資金を流出させ、チャネルを閉じて資金を抽出した。FoundationのBTCPayオンチェーンホットウォレットは影響を受けていない。

仮名の評論家hodlonautが運営するビットコイン媒体Citadel21も、自社のLightningノードが資金流出を受けたと報告したが、そこにはわずかな資金しか保持されていなかったとしている。

Bitcoin Red Teamの関与

この脆弱性は、Bitcoin Red TeamのメンバーによってBTCPayに既に報告されていた。同チームは今週前半にAIモデルをビットコインのコードベースに向け始めた開発者グループであり、数百のプロジェクトにまたがる数千件の発見を提出してきた。BTCPayは、Red TeamのメンバーであるCraig Raw、Rob Hamilton、Calle、Evan Kaloudisが責任ある開示を行い、分析を支援したと評価した。

同グループが発見を迅速に公表した理由は、外部の研究者が同じバグに到達するのは必然であるというものだった。BTCPayが一般向けの警告を発した時点では、攻撃者は既にこの脆弱性を実稼働中のサーバーに対して悪用していた。

関連記事：ビットコイン開発者が「極めて深刻な」状況で85件の重大なバグを指摘

影響範囲と次のステップ

BTCPayは最初の警告の影響範囲を絞り込み、BTCPay内で生成された標準のオンチェーンウォレットはこのクレデンシャルの欠陥による影響を受けないことを明確にした。影響はLNDを使用するデプロイメントに限定されるが、LND自身のオンチェーンウォレットに保持されている資金は、乗っ取られたLightningノードの管理下にあるためリスクにさらされる可能性がある。

BTCPayは、運用者にパッチ適用の時間が必要であるとして、脆弱性の技術的詳細をまだ公表していない。完全な事後分析は数日以内に公開される予定である。BTCPayとBitcoin Red Teamは本件の調査を継続している。

このエクスプロイトは、ビットコインのソフトウェアセキュリティにとって困難な1週間に新たな打撃を加えるものであり、今回はLightning（即時で低コストの送金のためにビットコイン上に構築されたレイヤー）を通じてビットコイン（BTC）決済を受け入れる加盟店に直接影響を及ぼした。Lightningの決済インフラとしての容量が拡大する中、加盟店が接続するインフラの脆弱性は、決済手段としてのビットコインに対する信頼に広範な影響を及ぼす可能性をはらんでいる。