Core Lightningの開発者は、ソフトウェア上で実験的機能を実行しているすべての利用者に対し、チームが新たに発見した問題の把握を進めている間、これらの機能を無効化しなければ資金を失うリスクがあると警告しました。

9月中旬のこの注意告知は、8月下旬のパッチに続く数週間以内では2回目の警告です。8月のパッチは、Core Lightning(CLN)のソフトウェアパッケージを使ってBitcoinのLightning Network上でノードを運用する企業、決済プロバイダー、個人運用者に影響する可能性があった別の一連のバグに対処するものでした。今回の注意告知はBitcoinのメインネットワークには適用されません。

Core Lightningノード運用者への新たなリスク警告

Core Lightningは9月15日、X上で新たなリスク警告を発出し、有効化している実験的機能を直ちにオフにするよう運用者に呼びかけました。この警告は、ブロックチェーンセキュリティ企業のSlowMistがX上の投稿でも指摘しています。

チームは、この実験的機能が何をするもので、どのように悪用され得るのかについては説明していません。それでも資金喪失リスクは具体的なものです。これらのノードは支払いチャ内にBTCを保有し、利用者間の資金をルーティングしているためです。調査が続く中、機能の無効化が運用者に公に求められている唯一の対応策となっています。

AI生成のCVEレポートが引き起こした多事多難の8月

9月の警告に先立ち、CLNは、大量のAI生成CVEレポート — ソフトウェアのセキュリティ欠陥の公開カタログされた情報開示 — が引き起こした多忙な8月からの移行に努めていました。当時の指示は、ノードを --offline フラグ付きで再起動することでした。これによりピア接続が切断され、ソフトウェアがチェーンを監視し続ける間、支払いがルーティングされなくなります。

8月28日までに、CLNチームはノード運用者に対し、バージョン26.06.7へのアップグレードが同月に発生した問題の修正であると伝えました。その修正の技術的詳細は、2週間の embargo 期間が満了した後の9月11日にGitHub上で公開されました。この遅延により、攻撃者がパッチをリバースエンジニアリングする前に運用者がアップグレードする時間が確保されました。

AIツールがオープンソースBitcoinの問題に

別のLightning Network実装であるLightning Development Kit(LDK)も8月に独自のセキュリティ緊急事態に直面しており、AIツールがオープンソースのBitcoinコードのセキュリティ欠陥をスキャンするために使用されつつある傾向が強まっています。LDKのメンテナーは、確認された損失や悪用されたアプリケーションはなかったと報告しています。Core LightningとLDKは独立したコードベースとして別々のチームにより維持されており、各プロジェクトがそれぞれのセキュリティ問題を追跡・開示しています。