オープンソース決済ソフトCore Lightningは、過去のリリースで複数のセキュリティ脆弱性が確認されたことを受け、Bitcoin Lightningノードの運営者に対しバージョン26.06.7へのアップグレードを呼びかけています。この勧告は、AI生成のセキュリティレポートの急増が弱点の発見につながったことを受けてのものです。

バージョン26.06.7は8月28日にリリースされ、脆弱性の詳細は当初2週間の非公開期間（エンバーゴ）により非公開とされました。この遅延により、攻撃者が変更内容を分析する前に運営者が修正を適用する時間的猶予が生まれました。これは、パッチを先に提供し、期間終了後に技術的詳細が公開される、オープンソースのセキュリティ業務で一般的な協調開示の手法です。CoinDeskによると、勧告の時点で脆弱性が実際に悪用された証拠は確認されていませんでした。

なぜこのアップデートが重要なのか

Core Lightning（一般的にCLNとして知られる）は、運営者がLightning Network経由でBitcoinの決済を送信、受信、ルーティングすることを可能にするソフトウェアです。Lightning Networkはセカンドレイヤーであり、ノードソフトウェアが決済チャネルを維持し、各チャネルの現在の残高を追跡します。侵害されたノードは、Lightning決済チャネルに保持されている資金を危険にさらす可能性があります。

すぐにアップグレードできない運営者に対し、開発者はマシンをシャットダウンする代わりに、–offlineオプションを付けてCLNを再起動することを推奨しました。オフラインモードでは他のLightningノードとの通信は遮断されますが、ソフトウェアはBitcoinブロックチェーンの監視を継続できます。

この違いは重要です。稼働中のノードは、古い残高を使用した特定のチャネル閉鎖の試みを検出できますが、完全に電源を切ったマシンにはそのような保護機能はありません。また、プロジェクトは26.06.7より前の全リリースのサポートを終了しており、アップグレードが影響を受ける運営者にとって中心的な対策となっていますn

Dockerユーザーは追加の確認が必要

初期展開の過程で、Dockerを利用する運営者には別の問題が発生しました。8月28日から9月1日の間に公開された一部のDockerイメージは、バージョン26.06.7と表示されていたものの、完全なセキュリティ修正が含まれていませんでした。Core Lightningはその後、対象のイメージを更新しており、影響期間中にこれらのイメージを取得した運営者はイメージダイジェストを検証し、修正版を取得する必要があります。ダイジェストはイメージの正確な内容に紐づくコンテンツベースの識別子であるため、確認することで両方が同じバージョン番号を表示していても、修正済みのリビルドと不完全なものを区別できます。

この一連の事態は、Bitcoinインフラにおけるより広範なセキュリティ課題を浮き彫りにしています。AIツールがオープンソースプロジェクト全体で脆弱性を発見する機会を増やしており、セキュリティ研究のスピードが向上する一方で、メンテナンス担当者が迅速に対応する圧力も高まっています。Lightning運営者にとっての最優先事項は、ソフトウェアが表示するバージョン番号だけを信頼するのではなく、検証済みの完全にパッチが適用されたリリースを実行することです。

出典：CryptoMeter io