BitcoinライトニングウォレットプラットフォームLNbitsは、重大なセキュリティインシデントを受けてユーザーに警告を伴うシャットダウン通知を行っていた事態を受け、緊急セキュリティアップデートであるバージョン1.7.0をリリースしました。プロジェクトによると、今回のリリースは脆弱性、認証、決済処理、拡張機能管理に対処する重要なセキュリティパッケージであり、オペレーターにはできるだけ早く対応するよう呼びかけています。すべてのLNbitsユーザーは緊急の対応としてv1.7.0へのアップグレードが推奨されています。

LNbitsは、LNDやCore Lightningなどのライトニングネットワークノードバックエンド上で動作する無料のオープンソースソフトウェアで、オペレーターとそのユーザーにアカウントおよびウォレット管理機能を提供しています。このプラットフォームはプラグインモジュールで拡張でき、今回のアップデートに至る一連の出来事に関係したPaywall拡張機能もその一つです。各LNbitsインスタンスは複数のユーザーのウォレットを管理しているため、ソフトウェアの欠陥は残高を保有するユーザーの損失に直結します。そのため、プロジェクトによるアップグレードの呼びかけはすべてのデプロイを対象としています。

報告された損失を受けLNbitsが緊急アップグレードを呼びかけ

今回のアップデートは、11月8日にLNbitsが発出した警告に続くもので、同チームは一斉攻撃を受けた中でオペレーターに対しサーバーを停止するよう指示していました。さらにその日の早い時間帯に、チームは潜在的な脆弱性を調査するため、ユーザーにPaywall拡張機能をオフにするよう要請していました。これらの警告から修正済みリリースまでの約2日の間隔は、欠陥が攻撃対象になった際に公開向けウォレットインフラのオペレーターがどれほど迅速に動く必要があるかを示しています。

LNbitsの創作者であるBen Arcはその後、ユーザーとプロジェクトの双方に損失が発生したことを認め、v1.7.0以前の数日間は特に厳しいものだったと述べました。

プロジェクトは11月10日、Xへの投稿でこのリリースを発表しました:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

少なくとも1つのオペレーターから、LNbitsインスタンスに不正なユーザーが登録され資金が引き出された結果、約229万サトシ(約0.023 BTC)の損失が公に報告されています。プロジェクトは、影響を受けたすべてのオペレーターの損失の完全な集計についてはまだ公表していません。

アップグレードだけでは十分ではない可能性

LNbitsは、アップグレードだけではすべてのオペレーターを保護できるとは限らないと注意喚起しています。プロジェクトによると、リスクがあるのは認証情報がすでに侵害されている可能性のあるオペレーターであり、ウォレットソフトウェアにパッチを適用した後でも、ウォレットキー、資金生成に必要な認証情報、その他の秘密情報が依然として有効である可能性は常にあります。インスタンスが侵害されたと考えるユーザーは認証情報を変更し、新しいサーバー上でインスタンスを再構築することも検討すべきです。この助言は、オープンソースの金融ソフトウェアに馴染みのある現実を反映しています。コードの脆弱性を閉じれば新たな悪用は防げますが、すでに露出した可能性のある秘密情報をそれ自体で無効化することはできません。

この区別は重要です。問題はBitcoinやライトニングネットワークのプロトコルにあるのではなく、LNbitsのソフトウェアデプロイにあるためです。

v1.7.0が追加する2FA、BOLT12、オンチェーンウォレット対応

セキュリティ修正に加え、v1.7.0は大幅な機能リリースとなっています。GitHub上のリリースノートには、TOTP二要素認証、オンチェーンウォレット対応、BOLT12オファー決済、NIP-17対応、ジョブスケジューラ、拡張機能の自動アップデートといった新機能が詳述されています。この中でも、TOTP二要素認証(パスワードと併せて必要となる時間ベースのコード)は、今回のアップデートが認証とアカウントアクセスに重点を置いていることを考えると際立っています。リリースにはまた、決済通知、ライトニングバックエンド、フィアットウォレット、Wasm拡張機能に関する多数の修正も含まれています。

決済関連の修正は、BOLT12リトライの重複処理、Core Lightningの手数料計算、LND自己決済におけるサービス手数料の計上に対応しています。発表にはさらにソフトウェアのアップグレードも盛り込まれており、LNbitsはPython 3.13とPydantic 2へ移行し、追加のセキュリティ強化も実施しています。

しかし、オペレーターにとって新機能は最優先事項ではありません。LNbitsは明確な行動喚起を行っており、すべての現行デプロイに対し通常運用を再開する前にv1.7.0へアップグレードするよう呼びかけています。リリースノートがその手順の definitive な参照資料であり、今後プロジェクトから追加の損失集計が公表されるかどうかが、コミュニティが事後対応を評価する上で注目すべきポイントとなります。

ソース: CryptoNinjas