BTCPay Serverの重大脆弱性、接続中のLightningノードから資金流出

ビットコイン加盟店で広く利用されるオープンソース決済基盤「BTCPay Server」は8月7日、接続されたLightningノードから資金が引き出される攻撃を受けたとして緊急のセキュリティ警告を出した。攻撃者は重大な脆弱性を悪用し、Lightningノードの認証情報へ不正にアクセスしたとされる。 被害については、ビットコインコミュニティの著名メンバー少なくとも2人が、夜間のうちにノード残高が空になったと報告。ハードウェアウォレットで知られるFoundationと、ビットコイン媒体「Citadel21」を運営するhodlonautは、Lightningチャネルが強制クローズ（forceclose）され、資金が根こそぎ移されたと明かした。一方で、関連するホットウォレットは影響を受けておらず、BTCPay ServerによるLightningノード認証の扱いに起因する可能性が強まっている。 問題の中心は、Lightningノードの権限管理に使われる「macaroon」と呼ばれる認証情報だ。APIキーのようにノード上での操作権限を与える仕組みだが、過去のアップデート適用後も古いmacaroonが有効なまま残り得る点が盲点になっていた。ソフトウェアを更新していても、認証情報の手動更新を行わない限り、旧macaroonが通用してしまうため、運用者が継続的にリスクに晒されていたという。 BTCPay Serverは警告と同日、修正版のv2.4.2を公開し、あわせてNBXplorerバックエンドをv2.6.10へ更新するよう案内した。運用者に対しては「直ちに更新」か「サーバーを停止」のいずれかを求め、被害拡大の回避を優先する姿勢を示した。なお今回の問題は、数日前に修正済みとされた別の認証バグとは別件とされる。 ハードウェアウォレットで自己管理を支えるFoundationが被害を受けた事実は、セルフホスト環境のセキュリティ確保が、ソフトウェア更新だけでは完結しない難しさを浮き彫りにする。ビットコイン基盤全体でも検証強化の機運が高まる中、直近ではColdcardのファームウェア不備が注目を集め、Bitcoin Red Teamが重要ツールのAI支援監査を進めている。監査の網より先に今回のBTCPay Server脆弱性が実際に悪用されたことで、攻撃面の拡大に対し現行のレビュー体制が追いついているのか、改めて問いが投げかけられている。 BTCPay ServerとBitcoin Red Teamはいずれも、数日以内に詳細な技術分析を公表する方針を示している。更新後も生き残る認証情報という今回の論点は見落としやすく、「アップデート済み」と「安全」の間に生まれるギャップが攻撃者の格好の標的になり得る。Lightningを有効にしたまま旧バージョンを運用している加盟店は、最優先で対応すべき局面だ。即時更新が難しい場合はサーバー停止を推奨するという踏み込んだ表現は、オープンソース運営側としても異例の強い警告と言える。