ライトニングノードのセキュリティ警告：実際にリスクに直面するのは誰か？

Core Lightningは、ビットコインのライトニングネットワーク向けの主要ソフトウェアクライアントであり、攻撃者がバージョン26.06.7以前を実行しているノードを積極的に標的にしていると警告を発した。これらの未修正の支払いチャネルに保管されている資金は、盗難にさらされる可能性がある。

ライトニングネットワークは、ビットコインの上に構築された二次的なフレームワークであるレイヤー2決済ソリューションとして機能する。ユーザーは、メインブロックチェーン外で発生する迅速で安価な取引のためにこれを利用している。

Core Lightning 26.06.8は何に対処するのか？

緊急セキュリティアップデート：バージョン26.06.7以前を実行している場合は、できるだけ早く最新リリースにアップグレードしてください。

攻撃者が未修正のノードを標的にしているとの報告を受けています。ノードを最新の状態に保つことは、資金を保護するための重要なステップです。https://t.co/E9ggGJsIit

— Core Lightning ⚡️ (@Core_LN) 2026年10月2日

パッチは9月22日から、バージョン26.06.8のリリースとともに利用可能となっている。しかし、チームはどの脆弱性が悪用されているか明らかにしていない。また、攻撃の再現を困難にするため、特定の技術的詳細を当面伏せている。

変更履歴には、ノード運用者に金銭的損失をもたらす可能性のある複数のバグが詳述されている。ノードとは、ライトニングソフトウェアを実行し、支払いチャネル内にロックされたビットコインを保持するコンピュータを指す。

最も深刻なシナリオでは、誤ったチャネル終了によりノードの資金が相手方に移転される可能性がある。その他のバグでは、攻撃者がノードをクラッシュさせ、オフラインにすることができる。

大多数のレイヤー2ライトニングユーザーにとって、危険はより間接的である。自身のCore Lightningノードを運用している者のみが、個人的にアップデートを適用する必要がある。

ウォレットアプリケーションを介してライトニングを利用するほとんどの個人は、ノードを運用していない。そのような場合、通常はアプリプロバイダーがアップグレードを管理する。

カストディアルウォレットは、ユーザーに代わってビットコインを保持する。プロバイダーのノードが損失を被った場合、プロバイダーが最初の影響を受ける。ユーザーに補償するかどうかはプロバイダーの方針次第であり、ライトニングには預金保険がない。

自己カストディアルウォレットのユーザーは、自身の鍵を保持できるため、チャネル残高を管理し続けることができる。それでも、プロバイダーのノードがクラッシュすると、一時的に支払いが中断される可能性がある。

なぜライトニングノードはより魅力的な標的になっているのか？

Core Lightningの警告は、ライトニングセキュリティにとって困難な時期の終わりに発表された。8月には、開発者らがAI生成のバグ報告の急増を受けて、本物のライトニング脆弱性を確認した。

同月の初め、攻撃者はライトニングの認証情報を露出させるBTCPay Serverの欠陥を通じて資金を吸い上げた。BTCPay Serverはオープンソースのビットコイン決済プロセッサである。

ライトニングノードは、支払いをリアルタイムでルーティングするために鍵をオンラインで保持する。その結果、古いソフトウェアは攻撃者にそれらのノードに保持された資金への直接経路を提供する。

今回、攻撃の報告はパッチが展開されてから約10日後に浮上した。AIツールがバグ発見を加速し続ければ、その猶予期間はさらに短くなり、アップグレードを先延ばしにするCore Lightningオペレーターはリスクにさらされることになる。