Bitcoin CoreがAI発見の脆弱性3件を公表、BTCノードをクラッシュ可能な不具合も含む

脆弱性3件と新たな開示方針

Bitcoin (BTC) Coreは、ノードソフトウェアに対する人工知能(AI)によるスキャンで見つかった脆弱性3件の詳細を公表した。このうち1件は、Windows、macOS、BSD上で稼働するBitcoin(BTC)のノードを遠隔のマシンから強制終了させられるもので、影響は深刻だ。各脆弱性の解説は水曜日に公開された。公開の約1週間前の10月22日、プロジェクトは新しい開示方針を採用している。大規模言語モデル(LLM)の登場で脆弱性を発見するコストが下がったため、いまや容易に見つけられると判断される不具合は秘密保持の対象外とする方針だ。プロジェクトのセキュリティ勧告ページに3件すべてが掲載されており、メモリ枯渇を引き起こす不具合については全文が公開されている。このクラッシュバグは10月23日の自動スキャンで検知され、同日に開発者が確認した。修正は10月27日に出荷され、メモリ系不具合の勧告は10月28日に、同じスキャンが見つけた別の2件とともに公開された。なお、ノードとはBitcoinネットワーク上のすべての取引を検証・中継するソフトウェアのことである。Bitcoin Coreは運用者の多くが採用する実装であり、同ソフトの欠陥はネットワーク全体の問題に発展し得る。今回のWindows、macOS、BSD向けの不具合は、接続してきたコンピュータがノードにデータを送り続け、メモリを使い果たしてダウンさせられるという仕組みだった。従来、Bitcoin Coreの開発者は中程度の深刻度を持つこの種の不具合を最長1年間秘密にし、攻撃者に知られる前に運用者がアップグレードを終える時間を確保していた。しかし、LLMがあれば容易に発見できる類の脆弱性にはこの慣行が適用されなくなり、修正はすべてのサポート対象バージョンへ可能な限り速やかに出荷され、公開勧告が添えられる運用に切り替わった。3件すべてが、LLMをコードベース全体に走らせた1回の自動スキャンから生まれたもので、各指摘は人間のコントリビューターがセキュリティチームに届く前に検証していた。今回公表された内容は、Bitcoinネットワークの価格形成にもコンセンサスルールにも触れるものではなく、リスクは各マシン上のリソース処理に限られている。

2件目の脆弱性は、方針変更の正当性を最もはっきり示す事例となった。スキャンの発見がプロジェクトに届いたのは9月15日。その6日後、報告を一切見ていなかった開発者が同じ不具合を独自に発見した。機械が1週間以内にバグを再発見できる状況では、長期の秘密保持は無意味に近いという結論になる。勧告によると、この不具合を悪用した接続先のピアは、プロトコルの旧バージョンを名乗ったうえで応答を止め、被害者のメモリにメッセージを蓄積させられた。蓄積速度は受信接続1件あたり毎時2MB、送信接続1件あたり毎時5MBに達する。深刻度は低と評価された3件目の不具合は、計3回別々に表面化した。スキャンでの発見に加え、開発者からの独立した報告が8月に1回、10月23日にさらに1回あった。悪用の手口は、プルーフオブワークのルールに基づきチェーンを再構成する際にノードが保持する再編成用ファイルへのあふれを、マイナーが細工したブロックで引き起こすものだ。64ビット環境では、攻撃の成立にネットワーク全体の約1か月分のブロック生成が必要となる。一方、Windowsおよび32ビットシステムではノードが完全に停止し得るうえ、再起動しても異常は解消されないと勧告は述べている。32ビットハードウェア上のノード、または古いFAT32ドライブにブロックを保存するノードは、修正適用後も危険にさらされたままだ。リリースノートはさらに、Bitcoin (BTC) Coreバージョン30.0で修正済みの深刻度高および中の不具合3件が2週間以内に開示される予定だと付記している。サポート対象の64ビットビルドを利用する運用者は、パッチ適用済みリリースへの更新で記録されたリスクを解消できる。残る制約はコードではなく、ハードウェアとストレージ側にある。

攻撃の実害は現時点でゼロ

COINOTAGの見立てでは、この方針転換は秘密保持の価値を引き下げるものだ。LLMがバグに到達できる以上、プロジェクトは誰が秘密を握っていても公表物として扱い、勧告の記録はその姿勢を意図ではなく日付で裏付けている。差し迫ったリスクは、32ビットシステムやFAT32ストレージを運用する者に集中しており、パッチはそれらを覆わない。マイニング業務は当初から対象外である。不具合はノードソフト側にあり、マイニング用ハードウェアや報酬には影響しない。ソース上は、攻撃者によってノードが実際に落とされた事例は1件も確認されておらず、修正出荷後の事故報告もない。実際に攻撃を受けたノードの最初の報告が出た時点で、このパッチ告知は事故として語られることになる。現時点で、その報告は届いていない。