世界中の数千のBitcoinマーチャントが使用するオープンソースの決済処理システムであるBTCPay Serverは、8月7日に、攻撃者が深刻な脆弱性を悪用して接続されたLightningノードの資金を空にしたことを受けて、緊急のセキュリティアラートを発表しました。この脆弱性により、Lightningノードの認証情報に不正アクセスが可能になり、少なくとも2人の著名なBitcoinコミュニティメンバーが、自らのノードが一晩で空にされたことを確認しました。
ハードウェアウォレットの有名なラインを開発するFoundationと、Bitcoin出版物Citadel21を運営するhodlonautの両方が、自身のLightningチャネルが強制的に閉鎖され、資金がすべて持ち去られたと報告した。関連するホットウォレットは影響を受けておらず、これはBTCPay ServerがLightningノードの認証を処理する方法に特有の攻撃ベクトルがあることを示唆している。
何がうまくいかなかったのか
この脆弱性は、Lightningノード上でアクションを実行する権限を付与するAPIキーのような役割を果たすmacaroonと呼ばれるLightningノードの認証情報に集中していました。問題は、これらの認証情報がユーザーが以前のソフトウェア更新を適用しても存続し続けたことです。BTCPay Serverのインストールを丁寧に更新したオペレーターでも、古いmacaroonsが有効なままだったため、手動で認証情報を更新する必要がありました。
BTCPay Serverは、アラートが発令された当日にバージョン2.4.2をリリースし、NBXplorerバックエンドをバージョン2.6.10にアップグレードするようガイドラインを提供しました。プロジェクトは、さらなる損失を防ぐため、すべての運用者に即座に更新するか、サーバーを完全にシャットダウンするよう指示しました。
注目すべきは、この脆弱性が、BTCPay Serverが数日前にすでにパッチを適用した以前の認証バグとは別物であったことです。
セルフホスティングのパラドックス
Foundationは、ユーザーが自らのBitcoinを最大限に管理できるように設計されたハードウェールウォレットを構築しています。BTCPay Serverの脆弱性を突かれたことさえも、セルフホストされたスタックのすべての層で絶対的なセキュリティを維持することがいかに困難であるかを示しています。
この攻撃は、Bitcoinインフラ全体に対する注目が高まっている時期に発生しました。最近のColdcardファームウェアの脆弱性により、ハードウェアウォレットのセキュリティが注目され、Bitcoin Red Teamは重要なBitcoinツールに対してAIを活用した監査を実施してきました。このBTCPayの脆弱性が、監査チームが発見する前に実際に悪用されたという事実は、現在のセキュリティレビュー手法が攻撃面の拡大に十分に対応できているかどうかという疑問を投げかけています。
フォールアウトと注目ポイント
BTCPay ServerおよびBitcoin Red Teamは、今後数日以内にこの攻撃の詳細な技術的分析を公開すると示唆しています。
この攻撃の具体的なメカニズムや、ソフトウェア更新後に残り続けた資格情報は、見過ごされがちな脆弱性のカテゴリを示しています。修正に明示的でない追加の手動ステップが必要な場合、「更新済み」と「安全」の間のギャップは、攻撃者にとって狩猟場となります。
Lightningを有効にした古いバージョンのBTCPay Serverを引き続き使用しているマーチャントは、この状況を緊急事態とみなすべきです。即時アップデートが不可能な場合のサーバー停止というプロジェクトの推奨は、オープンソースメンテナーとしては異例ほど明確です。