Bitcoin Lightning Networkウォレットの運用に広く使われているオープンソースソフトウェアLNbitsは、すべてのユーザーにサーバーの停止を求めました。この警告は、攻撃者がLNbitsインスタンス上で新規アカウントを作成し、許可なく資金を引き出していたとの複数の報告を受け、2026年11月8日に発表されました。

何が起きたのか

警告は一連の攻撃の成功を受けたものです。報告によると、攻撃者はLNbitsインスタンス上で新規アカウントを開設し、本来触れる権利のない資金を引き出すことができたといいます。

最も明確な公開事例のひとつは、BitTipBotを運営する@KevinR4vによるものです。運営者は約2,285,545sats(約0.0229 BTCに相当)の損失を報告しました。satsで数えない読者のために説明すると、satはBitcoinの最小単位で、1枚のコインの1億分の1です。Lightningユーザーがsats単位で考えるのは、このネットワークが小口かつ高速な決済向けに作られているためです。

BitTipBotへの攻撃は、報道によるとおよそ5時間の範囲で発生しました。開始は協定世界時(UTC)9時22分頃で、14時00分頃まで続きました。

BitTipBotの運営者は、影響を受けたユーザーへの返金に応じる意向を示しています。ただし資金はセキュリティパッチが適用されるまでアクセスできない状態のため、ユーザーが補償を受けられるのはLNbitsの対応を待つことになります。

パッチのタイムライン

ユーザーに停止を呼びかけた後、LNbitsは複数のセキュリティパッチを開発中であると説明しました。プロジェクトは警告から24〜48時間以内のリリースを見込んでいます。

この期間が注目すべき具体的なタイムラインです。停止されたインスタンスの再起動も、BitTipBotが約束した返金もパッチに依存しているため、次の確認ポイントはリリースが予定通りに届くかどうかです。

LNbitsはまた、コミュニティに対してこの注意喚起をできるだけ広く拡散するよう求めました。分散型のセルフホストツールにとって、この要請は実践的な意味を持ちます。すべてのインスタンスを保護できる中央のスイッチは存在せず、各運営者がそれぞれ自分のサーバーを運用しているため、各運営者が警告を受け取り、個別に対処する必要があります。

LNbitsがセキュリティ問題への対処を迫られたのは今回が初めてではありません。それ以前の脆弱性は、V12による監査を経て、2026年9月にリリースされたバージョン1.6.0で修正されました。

背景:LNbitsが重要な理由

LNbitsは、Lightning Networkの上に位置するセルフホストのレイヤー内で、複数のウォレットやアカウントを管理できるようにするものです。運営者は、大手企業に管理を委ねることなく、チップボット、POS環境、グループ向けの共有ウォレットなどを構築できます。

このタイミングには背景があります。ElectrumやCore Lightningなど、他のLightning関連プロジェクトも2026年11月初旬に独自のセキュリティアップデートを提供しました。ただし、それらのアップデートとLNbitsの脆弱性との間に具体的な関連があることは確認されていません。

このことの意味

LNbitsインスタンスはチップボット、POS環境、共有ウォレットを運用できるため、停止要請はそれらのサービスが各運営者のパッチ適用と再起動までオフラインになることを意味します。BitTipBotの事例は、このダウンタイムがもたらす人的な影響を示しています。返金に前向きな運営者であっても、ソフトウェアが修正されるまでは返金できず、エンドユーザーは自分に落ち度がないまま宙ぶらりんの状態に置かれています。

直ちに市場の反応は確認されていません。これまでに報告された損失はBitcoinの規模としては小さく、この事件は大手取引所やカストディアンではなくセルフホストツールを中心に起きています。

当面、LNbitsのメッセージは率直です。停止し、修正を待ち、同じ対応を取るよう知り合いの運営者全員に伝えてください。