Blockstreamが開発するBitcoinライトニングネットワーク向けオープンソース・ノード実装「Core Lightning(CLN)」の開発チームは、攻撃者が未パッチのノードを標的にしているとの報告を受け、旧バージョンを運用しているオペレーターに対し即時のアップグレードを呼びかけました。

「緊急のセキュリティアップデート:バージョン26.06.7以前を運用している場合は、できるだけ早く最新リリースへアップグレードしてください」と、チームは金曜日に述べました。

Core Lightningは、攻撃者がどの脆弱性を標的にしているのか、またこの活動がどのような影響を及ぼす可能性があるのかを明らかにしていません。CointelegraphはCore Lightningにコメントを求めています。

9月16日、Core Lightningは、ユーザーの資金に影響を与える可能性のある実験的機能に関する問題の報告を調査中であると発表しました。約6日後の9月22日、同プロジェクトはバージョン26.06.8をリリースし、「多数の情報源から責任ある形で報告された脆弱性」のパッチに加えてバグ修正を提供しました。リリースノートでは、Bitcoin Red Teamおよびその他12の個人・団体に加え、匿名の報告者がクレジットされています。

チェンジログによると、これらの修正には、送信側のノードをクラッシュさせる可能性のある不具合、RESTインターフェースでメモリを枯渇させる可能性のあるリクエスト、そしてペナルティによってユーザーが資金を失うおそれのあるチャネル決済バグへの対応が含まれています。ライトニングネットワークにおいてペナルティとは、古い残高情報でチャネルを決済しようとするノードをプロトコルが処罰する仕組みであり、このバグがチャネル資金を直接失う経路になり得ます。また、今回のリリースでは、オペレーターがアップグレードを完了するまでの間、攻撃者が脆弱性をリバースエンジニアリングして悪用することを困難にするため、一部のテストを意図的に非公開と。

これらの開示は、ノードオペレーターにとってのリスクの大きさを浮き彫りにしています。ライトニングノードは決済チャネルにロックされた資金を保有し、ネットワーク全体の支払いをルーティングするため、Core Lightningのような広く利用されている実装の脆弱性は、単なるソフトウェアバグではなく直接的な資金リスクにつながり得ます。

今回の警告に先立つ8月、Core Lightningは、直近数週間で大量のAI生成によるCVE(Common Vulnerabilities and Exposures)報告を評価した結果、調整済みの修正に取り組んでいると発表していました。その2日後、同プロジェクトは確認済みの脆弱性に対処するバージョン26.06.7をリリースしました。

今後の展開は、Core Lightningがまだ提供していない詳細次第です。標的となった脆弱性は依然として特定されておらず、今後の追加アドバイザリやコメントへの回答によって、未パッチのバージョンを運用するノードへの攻撃活動の範囲が明らかになる可能性があります。