LNbits、11月8日の攻撃による資金流出を受け、緊急セキュリティアップデート1.7.0をリリース
重要ポイント
- •LNbitsは11月10日、緊急セキュリティアップデートとしてバージョン1.7.0をリリースし、すべての運営者にサーバー再起動前のアップグレードを指示した。
- •11月8日に始まった攻撃には不正なアカウント作成と資金引き出しが含まれており、LNbitsはユーザーにサーバーの即時停止を呼びかけ、ホスティングサービス上のインスタンスを無効化した。
- •BitTipBotの運営者Kevin Ravensbergは、11月8日の9時22分頃から14時00分頃(UTC)の間に、攻撃者が自身のインスタンスにアカウントを作成し、2,285,545サトシ(約0.0229 BTC)を引き出したと報告した。
- •公式アップグレードガイダンスによれば、1.7.0未満のすべてのバージョンが影響を受けており、侵害が疑われる運営者は新しいサーバーを構築し、ウォレットキー、資金ソースの認証情報、その他の保存されたシークレットをローテーションすべきである。
- •v1.7.0の発表時点で、LNbitsは影響を受けたインスタンスの損失総額を公表しておらず、約束された技術レポートもまだリリースされていない。
オープンソースのLightning NetworkウォレットおよびアカウントプラットフォームであるLNbitsは、11月10日、緊急セキュリティアップデートとしてバージョン1.7.0をリリースし、すべての運営者に対してサーバー再起動前にアップグレードするよう指示した。プロジェクトの公式Xアカウントは、GitHubリリースへのリンクとともに本リリースを発表し、「SECURITY UPDATE」(セキュリティアップデート)と称した。
このパッチは、週末に始まった一連の攻撃への対応である。11月8日、LNbitsはXで投稿し、攻撃が活発に行われていることを報告した上で、すべてのユーザーにLNbitsサーバーを即時停止するよう呼びかけ、セキュリティパッチを準備中であると伝えた。「警戒しすぎるに越したことはない」とも付け加えている。プロジェクトは、ホスティングサービス上のインスタンスも無効化した。
不正なアカウント作成と資金引き出しを記録した複数の報告があった。Telegramのチップ送金サービスBitTipBotの運営者Kevin Ravensbergは、11月8日の9時22分頃から14時00分(UTC)頃の間に、攻撃者が自身のインスタンス上で新規アカウントを作成し、2,285,545サトシ(約0.0229 BTC)を引き出したと公表した。
リリースとともに公開された公式アップグレードガイダンスによれば、1.7.0未満のすべてのバージョンが影響を受けており、「旧バージョンのLNbitsで運用中の資金は窃取のリスクにさらされている」という。プロジェクトは、1.7.0には11月8日に発見されたインシデントに対処するセキュリティ修正が含まれており、悪用手法に関する詳細な技術レポートが後日公表される予定であると述べた。LNbitsは単一の資金ソースの上にマルチユーザーアカウントと拡張機能を提供しているため、このアップデートの重要性は個々の運営者にとどまらず、自己ホストか管理型かを問わず、パッチ未適用のインスタンスのユーザーにも及ぶ。その残高は、基盤で稼働するこのソフトウェアに依存しているからである。
侵害が疑われる場合、運営者には新しいサーバーを構築することが推奨されている。アップデートのみでは、攻撃者がすでに取得した可能性のあるアクセス権を除去できないためである。追加の復旧手順には、スーパー管理者としてすべてのユーザーウォレットキーのローテーション、資金ソースの認証情報(APIキーまたはマカロン)の交換、設定に保存されたその他のシークレットのローテーション、NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat、FOSSAなどの拡張機能の接続の見直しまたは再作成が含まれる。
GitHubのリリースノートには、認証、拡張機能管理、決済処理にわたる広範なセキュリティ強化と、依存関係の更新が記載されている。このバージョンには、オンチェーンウォレット対応、BOLT12オファー決済、TOTP二要素認証、NIP-17対応、ジョブスケジューラ、拡張機能の自動更新、LNbits資金ソースのホールドインボイス対応といった新機能も含まれている。
プロジェクトは、LNbitsがホットウォレットとして機能することを運営者に再度注意喚起している。運用に必要な残高のみをオンラインに保ち、アクティビティを定期的に確認し、余剰資金はオフラインのキーへ移動すべきである。これは、資金をオンラインで保有するすべてのLightningサービスにおける標準的な運用手法である。
LNbitsは2019年にBen Arcによって無料のオープンソースプロジェクトとして創設され、その後、開発を支援するために商業法人を設立した。このソフトウェアは、LNDやCore Lightningを含む任意のLightning資金ソースの上に、マルチユーザーアカウントと多数の拡張機能を提供する。Bitcoin Magazineは2024年9月にこのプロジェクトを取り上げ、「あなたのBitcoin LightningノードのためのWordPress」と評し、手軽なLightningツールを求める個人、企業、ノード運営者の間での広範な利用に言及した。このソフトウェアは、自己ホストと管理インスタンスの両方で広く導入されている。
v1.7.0の発表時点で、プロジェクトは影響を受けたすべてのインスタンスにおける損失総額を公表しておらず、約束されていた悪用手法に関する技術レポートもまだ出ていない。この2つの点が、インシデントの全容を形づくることになる。まだアップグレードしていない運営者は、サーバーをオンラインに戻す前に公式ガイダンスを参照するよう指示されている。
本記事「LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds」は、Bitcoin Magazineに初掲載され、Juan Galtによって執筆された。
