ビットコインのLightning Network（ライトニングネットワーク）に接続する決済サーバー「BTCPay Server」に深刻な脆弱性が見つかり、実際に資金が盗まれる被害が発生している。攻撃者は認証情報を不正に入手し、Lightningノードを遠隔操作してチャネル内の資金をすべて抜き取った。
BTCPayの開発チームは8月8日、緊急の警告を発出した。LND（Lightning Network Daemon）を使ってノードを運用しているユーザーに対し、直ちにバージョン2.4.2へアップデートするか、サーバーをオフラインにするよう呼びかけている。ビットコインのソフトウェア界隈にとって、今週はまさに試練の連続だ。
何が起きたのか、BTCPayの脆弱性の仕組み
今回問題となったのは、BTCPay Serverが内部で管理する「.macaroon（マカルーン）」と呼ばれる認証ファイルだ。マカルーンとは、簡単に言えば「特定の操作だけを許可する限定権限付きの鍵」のようなものだ。銀行の貸金庫で例えるなら、金庫室全体の鍵ではなく「午後3時から4時の間だけ、3番の貸金庫を開けられる」という条件付きの鍵に近い。
Lightning Networkはビットコインの上に構築されたセカンドレイヤー（2層目）のネットワークだ。ビットコインの送金は処理に時間がかかり手数料も高いが、Lightningを使えば少額のビットコインを即時かつ低コストで送れる。カフェでコーヒーを買うような日常決済をビットコインで実現するための仕組みだ。
BTCPay Serverは、このLightning決済を加盟店が簡単に受け入れられるようにするサーバーソフトウェアだ。今回の脆弱性は、攻撃者が認証を経ずにマカルーンファイルへアクセスできてしまうというものだった。このファイルを手に入れた攻撃者は、被害者のLightningノードを自由に操作し、チャネルにロックされている資金を自分のウォレットへ送金できてしまう。
マカルーンファイルは平たく言えば「リモコン」の役割を果たす。本来ならサーバー管理者だけが持つべきリモコンを、攻撃者が勝手にコピーできた状態だ。これによりノードの支配権が奪われ、チャネル内の資金が根こそぎ移動させられた。
被害の規模と影響を受けた企業
BTCPayチームは現時点で、被害を受けたユーザーの総数や流出したビットコインの総額を公表していない。しかし複数の著名企業が被害を認めており、事態の深刻さが浮き彫りになっている。
ハードウェアウォレットメーカーFoundationも被害に
ハードウェアウォレットを製造するFoundationのCEO、Zach Herbert氏はX（旧Twitter）への投稿で、同社が運用していたBTCPayのLightningノードが攻撃者によって一晩で空にされたと報告した。チャネルは閉じられ、中の資金はすべて抜き取られたという。
注目すべきは、FoundationのBTCPay上で管理されていた通常のオンチェーンホットウォレットは無傷だった点だ。あくまでLightningノードに関連する資金だけが狙われた。これは攻撃がLNDのマカルーンファイルを経由したものであり、BTCPay本体のオンチェーンウォレットには影響が及ばなかったことを裏付けている。
ビットコインメディアCitadel21のノードも空に
匿名のビットコイン支持者として知られるhodlonaut（ホドロノート）氏が運営するメディア「Citadel21」も、自社のLightningノードが攻撃されたことを認めた。同メディアによれば、ノードに保管していた金額は少額だったが、それでも資金は完全に抜き取られた。
これらの被害報告から、攻撃者は特定の企業や個人を狙った標的型ではなく、脆弱性を持つサーバーを広くスキャンして無差別に攻撃していた可能性が高い。
脆弱性はどのように発見されたのか
この脆弱性を最初に報告したのは「Bitcoin Red Team」と呼ばれる開発者グループだ。このチームは今週に入ってAIモデルをビットコイン関連のコードベースに集中的に当てる活動を開始し、数百のプロジェクトから数千件におよぶバグ報告を提出している。
Bitcoin Red Teamがこの手法を短期間で大規模に展開した理由は明確だ。同チームは「自分たちが発見できるバグは、悪意ある攻撃者もいずれ到達する」というスタンスを取っている。つまり、先手を打って問題を可視化し、開発者に修正の機会を与えることが目的だった。
皮肉にも、BTCPayの公開警告が出る頃には、すでに実際のサーバーに対して攻撃が始まっていた。善意の研究者が問題を報告するスピードと、悪意ある攻撃者がそれを悪用するスピードが、ほとんど同時だったことになる。
BTCPayチームは、今回の問題を責任を持って報告し分析に協力したとして、Bitcoin Red TeamのメンバーであるCraig Raw、Rob Hamilton、Calle、Evan Kaloudisの4名に謝意を表明している。
ビットコイン界隈を襲う「極めて悪い」1週間
今回のBTCPayの脆弱性は、ビットコインのソフトウェアにとって二重の打撃となった。CoinDeskの報道によれば、同じBitcoin Red Teamが今週初めにビットコイン関連プロジェクトから85件の深刻なバグを報告しており、関係者の間では「極めて悪い状況」という認識が広がっていた矢先の出来事だった。
AIを活用したバグ発見は両刃の剣だ。善意の研究者が使えば脆弱性の早期発見につながるが、攻撃者も同じ技術を使って悪用可能な穴を探せる。ビットコインのエコシステム全体が、新たな脅威の時代に突入したと言える。
ユーザーが今すぐ取るべき対応
BTCPay Serverを使ってLightningノードを運用している場合、対応は明確だ。LNDをバックエンドに使っているなら、直ちにバージョン2.4.2へアップデートすること。あるいは、アップデートが完了するまでサーバーをオフラインにする判断も推奨されている。
重要なのは、今回の脆弱性がLNDに特化したものである点だ。BTCPayの標準的なオンチェーンウォレット（サーバー内部で生成されるホットウォレットを含む）はこの問題の影響を受けない。ただし、LND自体のオンチェーンウォレットに保管されている資金は、侵害されたLightningノードの管理下にあるためリスクにさらされる。
BTCPayチームは現在、脆弱性の技術的な詳細を意図的に公開していない。運営者が修正パッチを適用する時間を確保するためだ。完全な事後分析（ポストモーテム）は数日以内に公開される予定だ。
Lightningノードの運用には常に一定のリスクが伴う。ネットワーク上に資金を置くという性質上、ソフトウェアの脆弱性がそのまま資金の喪失につながりかねない。今回の事例は、ノード運用者が常に最新のセキュリティ情報を追い、迅速にパッチを適用することの重要性を改めて示した。
この記事のポイント
- BTCPay ServerにLNDのマカルーン認証ファイルへの不正アクセスを許す深刻な脆弱性が発見され、実際にLightningノードから資金が盗まれた
- ハードウェアウォレットメーカーFoundationやビットコインメディアCitadel21など、著名な被害が複数報告されている
- 脆弱性はBitcoin Red Teamによって報告されたが、公開警告が出る前に攻撃が始まっていた
- 影響を受けるのはLND使用のLightningノード限定で、BTCPay標準のオンチェーンウォレットは無傷
- LNDユーザーはバージョン2.4.2への即時アップデートかサーバーのオフライン対応が必須
暗号資産とブロックチェーンの可能性を追求するエミリー。
暗号資産投資、DeFi、NFT、WEB3、メタバースといった最先端分野を深く理解し、「エミリーズ・クリプト・インサイダー」を運営。
分かりやすい解説で、ブロックチェーン革命の潮流を一般に広めることを目指す。初心者から上級者まで、最新情報を求めるすべての人に役立つ情報発信を心がけている。