BitcoinのCore Lightningプロジェクトは水曜日、AI生成のセキュリティ報告で指摘された脆弱性が実在するとノード運用者に通知した。まもなくパッチが公開されるとした。

技術的な詳細は少なくとも2週間は非公開のままとなる。

–offlineフラグでノードはフォースクローズの監視を継続できる

チームのXでの投稿によると、運用者はリリースを待ち、署名を検証したうえで、「いずれではなく、速やかに」インストールすべきだという。

更新できない運用者には、ノードを停止するのではなく–offlineフラグを付けて稼働を続けるよう勧めている。

offlineフラグはピア接続を遮断するため、ノードへの流入、流出、あるいはノード経由のルーティングは行われない。ソフトウェアは引き続き動作し、ブロックチェーンを監視する。

Lightningノードは、相手側がチャネルを強制的にクローズしようとする動きに注意を払う必要がある。電源を落としたノードは応答できないため、プロジェクトは停止がより悪い選択肢だと説明した。

Core Lightningは意図的に詳細を明かしていない。

同プロジェクトはDiscordサーバーで、複数の情報源から届いたAI生成の脆弱性報告を精査するために、「小規模なチームと外部貢献者」が10日間を費やし、数週間にわたるレビューの一部として作業したと述べた。

詳細を少なくとも2週間非公開にすることで、開発者が修正を提示し、運用者が脆弱性公開前にパッチを当てる時間を確保できる。

「私たちが推奨していることを明確にすると、ノードを停止する必要はありません。推奨はアップグレードです。リリースが出たら署名を確認し、インストールしてください。そして、それは『いずれ』ではなく『速やかに』行ってください。–offlineは、そうしない人のための代替手段です…」Core Lightning ⚡️（@Core_LN）は2026年8月27日にXへ投稿した。

同じメッセージは、2026年8月27日の2本目のX投稿でも繰り返された。

8月26日の2本の投稿は相反する指示を示した

8月26日、Bitcoin開発者のcalleは警報を投稿し、Blockstreamの開発者がユーザーにCore Lightningノードを直ちに停止するよう指示していると述べた。

その後Core Lightningは事実関係を正すことにした。水曜日にXへ投稿した同プロジェクトは、「私たちが推奨していることを明確にすると、ノードを停止する必要はありません」と述べ、推奨はアップグレードであり、それができない場合は–offlineを使うよう改めて強調した。

この訂正投稿は29回の再投稿と61件のいいねを得た。

8月初旬にBTCPay Serverが、攻撃者が脆弱性を利用してLND macaroon認証情報を盗んだ後に緊急パッチを公開した際、同プロジェクトは、Cryptopolitanが以前報じたように、人工知能は諸刃の剣になり得ると指摘した。

AIは防御側がバグを見つけやすくする一方で、攻撃者が大規模なオープンソースコードベースを安価に精査することも容易にする。

Bitcoinネットワーク自体は稼働しているが、その上に構築されたソフトウェアにはバグが含まれている可能性がある。対象はウォレット、決済処理、Lightning関連ツールなどだ。

パッチが公開された際には、ノード運用者はインストール前に署名を確認する必要がある。それまでは、脆弱性の数、深刻度、悪用の証拠は不明のままだ。