Lightning Dev Kit、ビットコイン(BTC)チャネル特定の欠陥を修正、10月25日にマージ

非公開チャネルがオンチェーン取引と紐付けられる可能性

ビットコイン(BTC)の決済インフラに、プライバシーに関する修正が入った。Lightning Dev Kit(LDK)に10月25日(日)にマージされたパッチは、部外者が非公開の支払いチャネルを、その資金源となるオンチェーン取引と結び付けて特定できる脆弱性を塞ぐものだ。影響範囲は支払いのプライバシーであり、ビットコインの価格や資産の管理には関わらない。技術研究グループのBitcoin (BTC) Optechが10月30日(金)に詳細を公開した。LDKは、ライトニングネットワークのウォレットや決済アプリを開発するためのソフトウェア開発キットだ。今回修正された不具合はブロックチェーン自体にはなく、旧バージョンのLDKがオニオンメッセージ(ライトニング決済がノード間を中継する際に使う暗号化パケット)を扱う方法に潜んでいた。攻撃は三段階で成立する。攻撃者はまず、非公開チャネルの開設に見えるブロックチェーン上の取引を選び、台帳上の位置からチャネル識別子を推定する。次に、疑わしい二つのノードに接続する。最後に、推定したチャネルの存否を確かめるように細工したオニオンメッセージを送る。メッセージが経路を通って正しく返ってくれば、そのオンチェーン取引が二つのノード間に非公開チャネルを開いたことが裏付けられ、運用者が公開しないと選んだ支払い経路の一部が露見する。成立条件は狭い。攻撃者は両端のノードと常時接続を維持し、探索が意味ある結果を返す前にチャネル識別子を当てる必要がある。開示は仕組みの説明にとどまり、この探索手法が実際のチャネルに対して使われたかどうかには触れていない。

ライトニングネットワークは、基盤チェーンよりも速く安くビットコインを送る仕組みだ。毎回の支払いを共有台帳に書き込む代わりに、二人の利用者がチャネルを開き、オフチェーンで残高を更新し、開設と閉鎖の取引だけをオンチェーンに記録する。小口で頻繁な支払いに向く設計で、チャネルを非告知にすれば、部外者には誰と誰が接続しているか分からない。ただしプライバシーは台帳で途切れる。非告知チャネルであっても、開設資金の取引は恒久的な公開記録であり、プルーフ・オブ・ワークのマイナーによって順序付けられている。今回の欠陥は、この設計の二つの側面を再び繋いでしまった。非告知チャネルは公開のルーティングテーブルからは見えないままなのに、旧LDKのコードでは執念ある部外者が、その裏にあるオンチェーン取引を特定できた。署名済み取引を別のチェーンで再再生するリプレイ攻撃とは異なり、秘密鍵や残高には一切触れていない。漏れたのはメタデータだが、無視できないメタデータだ。リンクが確定すれば、仮名のオンチェーン活動が、特定の二ノード間のチャネルに結び付くからだ。LDKの開発者は、メッセージ転送から実際のチャネル識別子を完全に取り除いた。修正後のソフトウェアは、チャネルのブロックチェーン上の位置を何も明かさない別の識別子を使い、ルーティングは機能させたまま探索手法が何も確定できないようにした。コードは公開説明の五日前、10月25日にプロジェクトへマージされた。今後の焦点は展開だ。LDKは多くのウォレットや決済サービスに組み込まれた開発用ソフトウェアであり、エンドユーザーが保護を得るのは各事業者が更新を配信した後になる。開示資料は、利用者自身がウォレット事業者のセキュリティ更新履歴を確認すべきだとする。この依存関係は重い。ライトニングはBitcoin DeFiの支払いを支える主要レイヤーであり、あえてプライバシーを選んだチャネル運用者こそ、この欠陥に晒されていたからだ。

開示が示さないもの

私たちの読みでは、ここで問題になる変数は不具合そのものではなく、修正の配布経路だ。LDKは開発用ソフトウェアであり、パッチが実際の利用者を守るのは、それを組み込むウォレットやサービスが独自に更新を配信した後になる。攻撃の制約条件、すなわち二つのノードとの有効な接続と、正しく推定されたチャネル識別子のおかげで、今回の事案は資金リスクではなくメタデータ漏洩にとどまっている。開示が示さないのは規模だ。いくつの非公開チャネルが探索されたのか、この手法が実地で使われたのか、そしていくつのライトニングウォレットが修正済みコードを配信したのか、いずれも書かれていない。各事業者が独自の更新ノートを公表するまで、非公開チャネルの運用者には自分が対象かを確認する手段がない。