ビットコイン(BTC)を「速く、安く」送るための決済網が、いま静かに揺れている。
ビットコインのライトニング・ネットワークのオープンソース実装であるコア・ライトニングが、複数の脆弱性の存在を認め、近く公開されるセキュリティアップデートを適用するようノード運営者に呼びかけた。
AIが吐き出した“玉石混交”の報告書
8月27日、コア・ライトニングはこう明かした。AIが自動生成した大量のCVE(共通脆弱性識別子)報告を精査してきたが、そのうちのいくつかは“本物”だった──。
そのうえで同プロジェクトは、運営者に対し、ノードを完全に停止するのではなく、「--offline」を付けて再起動するよう求めた。このオプションを付ければ、そのノードへの送金の受け入れ、送出、そして中継のすべてが止まる。
続く投稿では、こう補足している。あくまで第一の推奨はアップグレードであり、「--offline」での再起動は、まだアップグレードを済ませていない運営者向けの代替策にすぎない、と。
「落とすな、切り離せ」の理由
この指針は、基盤となるソフトウェアを丸ごと落とすことなく、アップグレードまでの間ノードを守るための“逃げ道”を与えるものだ。
もっとも、コア・ライトニングは脆弱性の中身も深刻度も明らかにしていない。CVE番号の公開もなければ、悪用された形跡や被害の報告もない。
では、なぜ完全停止ではダメなのか。同プロジェクトの説明はこうだ。デーモン(常駐プログラム)を動かし続けていれば、ノードはビットコインのブロックチェーンを追跡し続けられる。取引相手がチャネルを強制クローズしてきた場合にも対応できる。停止したノードには、それができない。
なお「--offline」を使った運営者は、アップグレード後に必ずこのオプションを外すこと。外し忘れれば、ノードは切断されたままになる。
5月・7月の脆弱性とは別物
今回確認された欠陥は、5月と7月に公表された遠隔からのサービス妨害(DoS)脆弱性とは別物である。そちらはすでに過去のリリースで修正済みだ。