多くの人は「資金が移し替えられた」を、シードフレーズや秘密鍵の漏えいだけのことだと理解しています。しかしライトニングネットワークの決済サーバーには、見落とされがちな別の高権限の入口があります。ノードのアクセス認証情報です。これは必ずしも秘密鍵ではありませんが、それだけで攻撃者がノードの身分で操作を開始できてしまいます。
8月7日、BTCPay Serverがセキュリティ公告を発表し、2.4.2より前のバージョン（候補版を含む）に脆弱性があるとしました。LNDを使用している導入環境では、認証されていないリモート攻撃者がLNDの「.macaroon」認証情報ファイルを取得する可能性があります。これらの認証情報が第三者の手に渡ると、攻撃者はLNDノードを制御し、資金を移転できる恐れがあります。公式は、この脆弱性が悪用されていることを確認しており、資金の損失がすでに発生しているとも述べています。
このメッセージがすべてのオンチェーン利用者に注目されるべき理由は、「また脆弱性が見つかった」というだけではありません。見落とされやすい、より深刻なリスクを明らかにしたからです。支払いインフラでは、権限ファイルそのものが資産境界の一部です。`.macaroon` は、きめ細かな認可の通行証として理解できます。通常は、アプリがノードに代わって特定の操作を実行できるようにしますが、例外的に高権限の資格情報が盗まれた場合、攻撃者はあなたの復元フレーズ（シード）を知る必要がなく、それでもノードの資金やチャネルを動かすのに足る権限を得られる可能性があります。
影響範囲をきちんと説明する必要があります。公式発表では、このリスクは LND を用いた BTCPay Server の導入に対するものだと明確に示されています。その他のライトニングネットワークの実装、またはライトニングネットワークが有効化されていないユーザーは、この LND の資格情報リスクの影響を受けません。一般的な BTCPay のオンチェーンウォレット（ホットウォレットを含む）には、この脆弱性による影響はありませんが、LND ノード自体のオンチェーン残高はリスクにさらされている可能性があります。「ある事業者（マーチャント）のノードが攻撃された」という事象を、「すべてのビットコインウォレットが安全ではない」に一般化しないでください。
なぜ脆弱性の詳細がまだ完全に公開されていないのでしょうか？セキュリティ対応の観点からすると、これは不自然ではありません。パッチが公開されたばかりで、まだ一部の導入が更新されていない時期に、利用（エクスプロイト）の完全な連鎖を公開すると、未修正ノードの露出面が拡大してしまいます。より注目すべきなのは、今後数日です。影響を受けた運用者がアップグレードと資格情報のローテーションを完了した後、公式はより完全な技術的な事後検証（復旧・分析）を提示する見込みです。市場の議論で「影響規模が非常に大きい」といった主張が出ても、公式の数字やオンチェーンに紐づけられる根拠がない限り、結論とすべきではありません。
ノード運用者にとって、推測して損失規模を当てることよりも優先順位が高いのは次の対応です。第一に、BTCPay Server を 2.4.2 にアップグレードし、LND を 0.21.1 にアップグレードすること。第二に、暫定的にアップグレードできない場合は、公式の推奨どおり LND サービスを停止し、ネットワーク上に露出し続けないこと。第三に、異常な支払い、意図しないチャネルのクローズ、見慣れない対等ノード（ピア）、および残高の変化を確認すること。第四に、アップグレードにより macaroons は再生成されますが、資格情報がリバースプロキシ、Tor、その他の転送経路を通じて露出していた場合は、関連するアクセス用の資格情報も必ずローテーションしてください。
私の見立てでは、今回の出来事によって「セルフホスト（自宅運用）」の議論はさらに具体化するはずです。コールドウォレットはもちろん重要ですが、支払いノード、署名サービス、そして自動化スクリプトを運用するときには、サーバーの権限、ネットワークへの露出面、そして資格情報のローテーションも、「誰も気づかないはず」と信じるだけでは済みません。セキュリティは単一の機器ではなく、ひとつながりの鎖です。
セルフホストの仕組みの中で、最も見落とされやすいのは秘密鍵の管理、サーバー権限、日常的な監視のどれだと思いますか？あなたのセキュリティチェックリストもぜひ共有してください。
出典：BTCPay Server 2026年8月7日付 セキュリティ告知。CoinDesk 2026年8月8日付の報道。
リスクの注意：本記事はセキュリティ情報の共有のみを目的としており、投資、取引、または技術導入の助言を構成しません。資金やノードに関わる操作を行う場合は、まず公式ドキュメントを確認し、必ずバックアップを取ってください。