ライトニングネットワークがハッキングされたのではない。ハッキングされたのは、ノード上の台帳だ。

ロンドン時間11月8日12時33分、オープンソースのライトニングウォレットツールLNbitsは、運営者にPaywall拡張機能を無効にするよう最初に警告した。13時56分には、攻撃への対応として、セキュリティパッチの公開がすべて完了するまで、全ユーザーにサーバーを直ちに停止するよう要請した。その後、公式ホスト型インスタンスも一時停止され、24時間以内に復旧すると発表された。BitTipBotの運営者によると、攻撃者は新しいアカウントを作成し、5時間で2,285,545サトシを引き出した。

自分でノードを運用していても、すべてのソフトウェア層が安全とは限らない。アプリケーション層が残高を記録し、その下のノードが実際のお金を支払う。今回の警告が示しているのはアプリケーション層であり、ビットコインやライトニングのプロトコルが破られたわけではない。

運営者がまず行うべきことは5つ。
1）まだ稼働中なら、公式の警告に従ってサービスを停止し、セキュリティパッチを待つ。
2）新規登録を無効にし、拡張機能は必要なものだけにする。
3）チャネルには運用に必要な分だけを残し、大半はコールドウォレットに保管する。
4）再起動前に、不審なアカウントや出金記録を確認する。
5）自前運用とホスト型を区別する。自分のサトシを他人のLNbitsに預けているなら、自分で管理しているとは言えない。

「オープンソースで自前運用だから」という理由だけで、多額の資金を預けても安心だと思いますか？

$BTC