ビットコインのライトニング向けウォレット「LNbits」にハッキング被害、緊急の安全対策更新を勧告

ビットコイン（BTC）のライトニングネットワーク対応ウォレットプラットフォーム「LNbits」で相次いでハッキング被害が発生し、資金が不正に引き出された。LNbitsは利用者に緊急のセキュリティーアップデートを促した。

コインテレグラフが11月10日に伝えたところによると、LNbitsは脆弱性を修正したソフトウエアのバージョン1.7.0を同日公開し、すべての運営者に直ちに更新するよう求めた。今回の更新には、利用者認証の仕組みや拡張機能の管理、決済処理の安全性を高める対策が盛り込まれた。

LNbitsの開発者ベン・アーク氏はXで「ここ数日、利用者も私たちも損失を被った。これを解決するため、バージョン1.7のリリース作業に打ち込んできた」と明らかにした。LNbitsは、ビットコインのライトニングネットワークを使ってウォレットや決済サービスを構築できるソフトウエアだ。オンライン決済や寄付、有料コンテンツの提供などに使われている。

LNbitsはこれに先立つ11月8日、決済関連の拡張機能「Paywall」でセキュリティー上の問題が見つかる可能性があるとして、同機能を無効にするよう案内していた。その後も攻撃が相次いだため、約1時間後にはサーバーの運営を直ちに停止するよう要請し、自社のホスティングサービスも一時閉鎖した。

LNbitsは、今回の脆弱性が1.7.0より前のすべてのバージョンに影響し、資金流出のリスクを招くと警告した。アップデート前に認証情報が漏洩していた場合は、最新バージョンを導入しても攻撃者がアクセスできる可能性が残るとも説明した。

このため運営者に対し、ウォレットのアクセスキーと資金供給元の認証情報を差し替えるよう勧告した。設定に保存された秘密情報についても、漏洩したものとして対応するよう求めた。すでにサーバーが侵害されている可能性がある場合には、新たなサーバー環境へ移行する案も示した。

実際の被害も確認されている。LNbitsの利用者ケビン・ラベンスバーグ氏は、攻撃者が自身のサーバー上で新規アカウントを作成した後、約230万サトシ（0.023BTC）を引き出したと主張した。サーバーを停止する前に資金が流出したという。

現時点で、攻撃に使われた具体的な脆弱性や被害総額は公表されていない。LNbitsは今後、別途報告書を通じてハッキングの経緯とセキュリティー問題の調査結果を公表する予定だ。