BTCPay Server、Lightning残高流出を受けLND認証情報の重大欠陥を修正（v2.4.2）

BTCPay Serverは、LNDの認証情報ファイルに未認証の遠隔アクセスが可能になる重大な脆弱性を修正したv2.4.2を公開した。脆弱な構成を突かれ、加盟店のLightningウォレット残高が流出した事例が報告されている。 リリースノートによると、問題の中心はLNDがアクセス権限の管理に用いる「.macaroon」ファイルの取り扱いにあった。macaroonは実質的に鍵として機能し、権限設定によっては、第三者に取得されることでノード操作を意図せず許してしまう可能性がある。 BTCPayの支援者は、返還された資金の10%を報奨金として支払う回収バウンティも支援している。上限は3 BTCで、現行価格ベースでは最大約19万ドル規模となる。 今回の事案はビットコインのプロトコルを突いたものではなく、オンチェーンのネイティブウォレットの不具合でもない。LNDを用いる一部のBTCPay Server環境におけるサーバー側のセキュリティ問題であり、この切り分けは重要だ。詳細は公式GitHubで確認できる。 要点 ・BTCPay Server v2.4.2が、LND認証情報（macaroon）露出に関する重大問題を修正 ・脆弱な設定の環境を通じ、加盟店のLightningウォレットが流出したとの報告 ・返還額の10%（上限3 BTC）の回収バウンティを提示 LND認証情報問題が重要な理由 BTCPay Serverは、中央集権的な決済代行に依存せず、加盟店がビットコイン決済を受け付けられる点で支持されている。一方で、自前の決済基盤を運用する以上、更新や設定、監視を含むサーバー防衛は運用者の責任になる。今回修正された脆弱性は、LNDのmacaroonがノード機能へのアクセス権を付与し得る点で深刻だ。Lightning運用では、認証情報の管理は実務上、秘密鍵の管理と同等に重要となる。ウォレット自体が健全でも、サーバーから認証情報が漏れれば資金は危険にさらされる。 ビットコイン自体への攻撃ではない 「ビットコイン決済サーバーから資金が抜かれた」と聞くと、ビットコインのどこかが破られたと受け取られがちだが、今回示されたのはそれではない。ビットコインの基盤プロトコルやコンセンサス、ブロックチェーンが侵害されたわけではなく、LNDを使うBTCPay Serverの導入環境で認証情報ファイルが露出したことが原因とされる。アプリケーション／インフラ層のセキュリティ事案であり、プロトコル修正を要する性質ではない。 とはいえ影響を受けた加盟店にとって、資金流出は現実の損失だ。必要な対処は、BTCPay Serverの更新、設定の見直し、ノード認証情報の保護である。 Lightningインフラ特有のリスク Lightningは高速・低コスト決済を可能にする一方、運用の複雑性を伴う。チャネル、流動性、バックアップ、遠隔アクセス、ルーティング、認証情報、サーバー露出といった要素を同時に扱うため、コールドストレージでBTCを保有するのとは異なる脅威モデルになる。インターネットに接続された決済ソフトウェアを常時稼働させる以上、アップデート、権限設計、認証情報の保管、監視の徹底が欠かせない。自前決済システムは「置いておけば安心」ではないことを改めて示した格好だ。 バウンティは回収に向けた施策 返還額の10%（上限3 BTC）という回収バウンティは、資金の返還や情報提供を促すインセンティブを作る狙いがある。バウンティが回収を保証するわけではないが、交渉や開示の窓口になり得る。暗号資産の流出では資金の追跡や取引所入金の監視が行われることも多く、換金の難しさが協力の動機になる場合もある。 運用者が取るべき対応 実務面の教訓は明確だ。BTCPay Serverをv2.4.2へ更新し、LNDの露出状況と設定を点検することが最優先となる。長年動いていたから安全だと決めつけるべきではない。攻撃者は旧バージョン、設定不備、漏えいした認証情報、過剰権限、インターネットに露出したサービスを狙う。BTCPay Serverはビットコイン加盟店にとって重要なツールであり続けるが、自主管理とセルフホスティングには保守という責務が伴う。今回の修正はv2.4.2が適用ポイントであり、該当環境の運用者は緊急対応として扱う必要がある。 本稿はBTCPay Serverのv2.4.2リリース資料および回収バウンティの情報に基づく。情報はGitHub上で公開された内容による。