ライトニングウォレットおよびアカウントプラットフォームであるオープンソースのLNbitsは、11月10日に緊急セキュリティアップデートとしてバージョン1.7.0をリリースし、サーバーを再びオンラインに戻す前にすべての運営者へインストールを指示した。

この指示は、11月8日にLNbitsインスタンスに対して発生した攻撃を受けたものである。プロジェクトの公式Xアカウントは、バージョンを発表する投稿の中で、このリリースを「SECURITY UPDATE」と位置付けた。

LNbitsとは

LNbitsは、ビットコインのレイヤー2決済プロトコルであるライトニングネットワーク上で動作する、Pythonで書かれた無料のオープンソースアプリケーションである。個人、企業、コミュニティがウォレットおよびアカウントシステムをセルフホストできるようにし、複数ユーザーのサポート、請求書発行、そしてPOSや投げ銭機能などのツールを追加する拡張フレームワークに対応している。このプラットフォームは、LNDやCore Lightningを含む複数のライトニング資金ソースに接続できる。

LNbitsは中央のホスティングサービスを通じてではなく、セルフホストの運営者によって導入されることが最も多いため、アップグレードのガイダンスは通常、公式Xアカウントを含むプロジェクトの公式コミュニケーションチャネルを通じてサーバー管理者に直接伝えられる。この導入モデルは、セキュリティインシデントへの対応のあり方にも影響を及ぼす。ユーザーに代わって修正を配信する中央プロバイダーが存在しないため、1.7.0のような緊急リリースへの対応は各管理者個人の責任となり、LNbitsインスタンス上にアカウントを持つ人は事実上、運営者が勧告に対応することに依存することになる。

運営者への指示

発表によると、影響を受けたサーバーを再びオンラインに戻す前に、バージョン1.7.0のインストールを完了させる必要がある。実際には、このリリースは11月8日のインシデント後のプロジェクトが指定した対応策であり、まだ旧バージョンを実行しているインスタンスは、サービス再開のための明示された条件を満たしていないことになる。

ここで要約した発表には、11月8日の攻撃に関する追加の技術的詳細、たとえば侵入手法や影響を受けたインスタンスの数は含まれていなかった。技術的な詳細、追加の勧告、フォローアップのガイダンスなどの今後の開示は、運営者がアップグレードの指示を受け取ったのと同じプロジェクトの公式コミュニケーションチャネルを通じて行われる見込みであり、状況が進展する中で注視すべきはこれらのチャネルとなる。

このコンテンツはCOINOTAGで最初に公開されました: https://en.coinotag.com/lnbits-1-7-0-urgent-security-update-november-8-attacks