ビットコインのCore Lightningに脆弱性、AI生成のセキュリティ報告から発覚

この記事のポイント

CLNは修正版バイナリ先行公開の方針、詳細は2週間後
未対応ノードは「–offline」モード推奨

修正版リリースに異例の対応

ビットコイン（BTC）のライトニングネットワークを支える主要ソフトの一つ、Core Lightning（CLN）の開発チームは、ノード運営者に対し、緊急のセキュリティ対応を呼びかけた。AI生成による脆弱性報告を受けて検証を進めた結果、一部については実際の脆弱性であることが確認されたため、迅速な対応を求めている。

13日にCLNのDiscordに投稿された説明によると、チームは過去10日間に複数の情報源からAIが生成したCVE（共通脆弱性識別子）報告を多数受け取った。開発チームはオープンソースの貢献者とともに報告内容の検証と優先順位付けを進め、必要な修正の開発に取り組んだ。そのうえで、複数の問題を修正した修正版リリース（ポイントリリース）を数日以内に公開し、ノード運営者にアップグレードを強く推奨する方針を示した。

しかし、23日には対応方針を変更し、修正版のバイナリ（実行ファイル）を先行して提供するという異例の措置を発表。リリースの詳細については2週間のエンバーゴ（公開猶予期間）を設ける方針を示した。バイナリには、再現可能であることを確認した開発チームのデジタル署名を付けるとしている。

CLNは、修正版が公開されるまではノードを完全停止せず、「–offline」モードで稼働を続けるよう推奨している。このモードでは他ノードとの通信は止まるが、ブロックチェーンの監視は継続できる。公開後は署名を検証して速やかにアップグレードし、アップグレード後は「–offline」を外す必要がある。

この異例の措置の背景には、脆弱性の詳細を先に公開すると、攻撃者が修正内容から攻撃方法を逆算して構築しかねないという判断があるようだ。まず修正版をノード運営者に提供し、アップデートする時間を確保した上で詳細を公開するという考え方だ。

現時点では、今回確認された脆弱性について具体的な技術情報は公開されていない。件数や深刻度、実際の攻撃への悪用や資金流出の有無についても、CLN側は詳細を明らかにしていない。

ライトニングネットワークの仕組み

ライトニングネットワークは、ビットコインの上に構築されたレイヤー2（L2）の決済ネットワークで、高速かつ低コストでの送金を可能にする。

ライトニングでは2者間でビットコインをロックして「支払いチャンネル」を開設し、それぞれが保有する残高を何度でも更新できる。更新はオフチェーンで行われ、個々の取引はブロックチェーンに記録されないため、ほぼ即時かつ低コストで送金できる。最終的にチャンネルを閉じる際に、最終残高がビットコインのブロックチェーンに記録される。

また、チャンネル内の資金を安全に保つため、ノードは常にブロックチェーンを監視する。取引相手が過去の状態（残高）を利用して、不正にチャンネルを閉じようとした場合には、それを検知して対応できる仕組みとなっている。

こうした仕組みを支える専用ソフトウェアの一つがCLNだ。今回問題となっているのは、ライトニングネットワークのプロトコルそのものではなく、CLNのソフトウェアに関する脆弱性である。

即座にアップグレードできないノードに対して、 CLNチームが「–offline」モードの利用を促したのは、不正防止のためビットコインブロックチェーンの監視を継続可能にするためだ。

電源を切ってノードを完全に停止してしまうと、この監視機能が失われる。一方、CLNを「–offline」オプション付きで再起動すると、他のライトニングノードとの接続は遮断され、支払いの送受信やルーティングは行えなくなるが、ソフトウェア自体は稼働し続けるため、ブロックチェーンの監視も継続される。

相次ぐライトニング関連のセキュリティ問題

8月上旬には、オープンソースのビットコイン決済ソフト「BTCPay Server」でも重大なセキュリティ事案が発生した。LNDを利用する環境では、認証を必要とせずLNDの管理用認証情報である「macaroon」ファイルを取得できる脆弱性が存在し、悪用されて接続されたライトニングノードから実際に資金が流出した。

BTCPay Serverは8月7日に緊急修正版「2.4.2」を公開し、LNDを利用しているユーザーに直ちにアップデートするよう要請。すぐに更新できない場合は、サーバーをオフラインにするよう呼びかけた。今回の脆弱性によるリスクはLNDを利用する環境に限定され、BTCPay Serverのオンチェーンウォレットなどは影響を受けないという。

BTCPay Serverはその後の声明で、「AIが攻撃者と防御者のバランスを変えつつある」と指摘。AIによって大規模なコードベースの調査や脆弱性の発見がより高速かつ低コストになっているとの認識を示した。