BitcoinライトニングウォレットプラットフォームのLNbitsは、一連の攻撃により資金が盗まれたと報じられたことを受け、緊急セキュリティアップデートをリリースした。プロジェクトは運営者に即時のアップグレードを呼びかけ、旧バージョンのソフトウェアではBitcoinウォレットが盗難のリスクにさらされると警告した。

11月10日にリリースされたバージョン1.7.0は、重大な脆弱性の修正と強化されたセキュリティ保護を提供する。ただし開発者は、攻撃者がすでに機密性の高い認証情報を取得しているシステムでは、アップデートのインストールだけでは安全が確保できない可能性があると注意を促した。

継続する攻撃を受けLNbitsが運営者に注意喚起

LNbitsは、企業や個人がBitcoinライトニングウォレットや決済アプリケーションを運用できるソフトウェアを開発しており、加盟店決済、チッププラットフォーム、サブスクリプションシステム、デジタルペイウォールなどのユースケースをサポートしている。

事件が明らかになったのは11月8日のことで、LNbitsはPaywall拡張機能に関連する脆弱性の可能性について運営者に警告した。攻撃が続くなか、プロジェクトはユーザーにサーバーの即時停止を緊急に呼びかけた。ホスティング環境の提供も、潜在的なリスクを抑えるため一時的に停止された。

プロジェクトの創設者であるBen Arc氏はその後、この事件でユーザーと開発者が経済的損失を被ったことを認めた。LNbitsのセキュリティガイダンスによれば、1.7.0より前にリリースされたすべてのバージョンが脆弱であるという。開発者は正確な攻撃手法を明らかにしておらず、損失総額もまだ確定していない。

報告されたBitcoin盗難が関心を集める

この事件の影響を受けた運営者のKevin Ravensberg氏は、約230万サトシ（約0.023 BTCに相当）の損失を報告した。同氏によると、攻撃者は不正なアカウントを作成し、彼がサーバーを停止できる前に資金を引き出したという。

報じられた損失は、セルフホスト型の暗号資産決済インフラに伴うセキュリティリスクを浮き彫りにしている。この環境では、サーバーのセキュリティ、鍵管理、認証情報の取り扱いは中央の提供者ではなく運営者自身の責任となる。ライトニングネットワークの取引は高速なBitcoin決済を可能にするが、侵害されたウォレットソフトウェアは資金を不正な引き出しにさらす可能性がある。

パッチだけでは不十分、運営者に追加措置を指示

最新のLNbitsセキュリティパッチは、認証、拡張機能管理、決済処理を強化するものである。バージョン1.7.0はまた、二要素認証や改善されたウォレット管理機能など、追加の保護機能を導入した。

それでもLNbitsは、以前に漏洩した認証情報はインストール後も使用可能なまま残る可能性があると警告した。アップデートで解消されるソフトウェアの欠陥とは異なり、盗まれた認証情報はサーバーをアップグレードしても無効にはならない。そのため運営者は、ウォレットキーの再設定、資金元の認証情報の交換、侵害された可能性のあるアクセス権限の取り消しを行う必要がある。プロジェクトはまた、アプリケーション設定に保存されている機密情報の交換も推奨している。

サーバーの侵害が疑われる運営者は、ソフトウェアアップデートだけに頼るのではなく、新規インストールの展開を検討すべきである。

LNbitsは、脆弱性と攻撃について説明する詳細な技術レポートを公表する予定である。それまでの間、損失の全容は不明のままであり、運営者はBitcoinライトニング決済システムの安全確保に注力している。約束された技術レポートと、停止中のホスティング環境がいつ復旧するかの情報が、注目すべき次の展開となる。