ビットコイン「ライトニング」に複数の脆弱性　運営者は「電源を切るな、線を抜け」──コア・ライトニングが異例の呼びかけ

ビットコイン(BTC)を「速く、安く」送るための決済網が、いま静かに揺れている。

ビットコインのライトニング・ネットワークのオープンソース実装であるコア・ライトニングが、複数の脆弱性の存在を認め、近く公開されるセキュリティアップデートを適用するようノード運営者に呼びかけた。

AIが吐き出した"玉石混交"の報告書

8月27日、コア・ライトニングはこう明かした。AIが自動生成した大量のCVE(共通脆弱性識別子)報告を精査してきたが、そのうちのいくつかは"本物"だった──。

そのうえで同プロジェクトは、運営者に対し、ノードを完全に停止するのではなく、「--offline」を付けて再起動するよう求めた。このオプションを付ければ、そのノードへの送金の受け入れ、送出、そして中継のすべてが止まる。

続く投稿では、こう補足している。あくまで第一の推奨はアップグレードであり、「--offline」での再起動は、まだアップグレードを済ませていない運営者向けの代替策にすぎない、と。

「落とすな、切り離せ」の理由

この指針は、基盤となるソフトウェアを丸ごと落とすことなく、アップグレードまでの間ノードを守るための"逃げ道"を与えるものだ。

もっとも、コア・ライトニングは脆弱性の中身も深刻度も明らかにしていない。CVE番号の公開もなければ、悪用された形跡や被害の報告もない。

では、なぜ完全停止ではダメなのか。同プロジェクトの説明はこうだ。デーモン(常駐プログラム)を動かし続けていれば、ノードはビットコインのブロックチェーンを追跡し続けられる。取引相手がチャネルを強制クローズしてきた場合にも対応できる。停止したノードには、それができない。

なお「--offline」を使った運営者は、アップグレード後に必ずこのオプションを外すこと。外し忘れれば、ノードは切断されたままになる。

5月・7月の脆弱性とは別物

今回確認された欠陥は、5月と7月に公表された遠隔からのサービス妨害(DoS)脆弱性とは別物である。そちらはすでに過去のリリースで修正済みだ。