LNbits、攻撃の波を受け全サーバー運営者に即時停止を呼びかけ

オープンソースのライトニングウォレット・アカウントプラットフォームであるLNbitsは、「攻撃の波」と表現する事態を受けて、セキュリティパッチがまだ提供されていない中、11月8日、すべてのサーバー運営者に即時のサーバー停止を指示した。

「すべてのLNbitsユーザーは、直ちにLNbitsサーバーを停止すべきです(IMMEDIATELY)」と、同プロジェクトは日曜日の午前8時56分(米東部時間)にXへ投稿した。「攻撃の波を受けて、複数のセキュリティパッチを公開する必要があります。」

その後、同プロジェクトは予防措置として、管理ホスティングサービスmy.lnbits.com上のすべてのインスタンスを無効化し、サービスは24時間以内に再開するとしている。

このソフトウェアは、接続された資金ソースの上にウォレットや決済アプリケーションを構築することを運営者に可能にするもので、ドキュメントにはLNDやCore Lightningを含むバックエンドが記載されている。停止指示の対象はLNbitsサーバーのみであり、ライトニングネットワーク上のすべてのノードではない。言い換えれば、命令の対象はライトニングノードの上で動作するアプリケーション層であり、ノードのバックエンドそのものではない。また、LNbitsインスタンスは、自身ではインフラを運用しないウォレットアプリの利用者の残高を保持できるため、この層の脆弱性は、サーバーを設置した当事者だけでなく、エンドユーザーの資金をも危険に晒す可能性がある。

Paywall警告から全面停止へ

全面停止命令に先立ち、LNbitsは開発者が潜在的なバグを調査する間、Paywall拡張を直ちに無効化するよう運営者に求める警告を出していた。その後の指示は、この拡張を使用しているインストール環境だけでなく、すべてのLNbitsサーバーを対象とした。

停止のお知らせでは、脆弱なバージョンの特定、攻撃経路の説明、損失総額の公表はいずれも行われなかった。照合できるバージョン範囲がないため、運営者はこの発表だけでは自分の環境が影響を受けるかどうかを判断できなかった。また、このお知らせは、サーバーのオフライン化指示からいかなる資金ソース構成も例外としていなかった。

運営者がインスタンスからの引き出しを報告

Xでの直接の報告の中で、運営者のKevin Ravensbergは、サーバーを停止できる前に、新たに作成されたアカウントによって自身のLNbitsインスタンスから約229万サトシ(約0.0229 BTC)が引き出されたと述べた。彼はBitTipBotの利用者に損失を補填する意向を示したが、LNbitsが脆弱性を修正するまで利用者は資金にアクセスできないとしている。

彼の証言は、単一インスタンスへの攻撃が、サーバーを運用していない人々にまで及びうることを示している。今回影響を受けた残高は、彼の環境上に構築されたサービスの利用者に帰属するものだった。

パッチはまだ提供されず

記事公開時点で、同プロジェクトのGitHubリリースページは、9月18日にリリースされたPostgreSQLバックアップのホットフィックスであるv1.6.2を最新リリースとして掲載したままであり、日曜日の攻撃に対処するリリースは記載されていなかった。

LNbitsのコントリビューターBen Arcは、パッチは「24〜48時間以内にマージされ、利用可能になるはず」と述べた。

そのようなリリースが現れるまで、運営者はアップグレード先の修正版を持たず、記事公開時点でもサーバー停止指示は有効のままだった。注視すべき具体的な指標は、v1.6.2より新しいリリースの有無を確認できるGitHubリリースページ、my.lnbits.comのサービス再開までの24時間という告知された期間、および最新の安全確認情報を掲載する同プロジェクトのXアカウントである。