Core Lightningは、AI生成のセキュリティ報告書で指摘された脆弱性が実在すると確認し、ノード運用者に対して公開予定のパッチを速やかに適用するよう呼びかけた。技術的な詳細は、少なくとも2週間は公表しない方針だ。27日付でブロックチェーンメディアのCryptopolitanが報じた。

同社は、ノードを直ちに停止する必要はないとしている。パッチ公開後は署名を検証したうえで速やかに導入するよう求めた。すぐにアップグレードできない場合は、ノード停止の代替策として「--offline」フラグを付けて起動し運用するよう案内している。

「--offline」フラグを使用すると、ピアとの接続が遮断され、受信・送信・中継のルーティングはすべて停止する。一方、ソフトウェア自体は稼働を続け、ブロックチェーンの監視は継続される。

Core Lightningが完全停止よりこの方法を勧めるのは、Lightning Networkのノードが、相手側によるチャネルの強制クローズの試みを継続的に監視する必要があるためだ。ノードを止めるとこうした動きに対応できなくなることから、完全停止は望ましくない選択肢だと判断した。

今回の告知は、前日の案内との食い違いを整理する内容でもある。26日には、ビットコイン開発者のカレが、Blockstreamの開発者がCore Lightningノードの即時停止を案内しているとして警告を出していた。その後、Core Lightningは、優先すべき対応はアップグレードであり、それができない場合に限って「--offline」を代替策とする方針を示した。

脆弱性の具体的な内容は明らかにされていない。Core Lightningによると、Discord上で少人数のチームと外部コントリビューターが、複数の経路から寄せられたAI生成の脆弱性報告を10日間にわたって検証し、関連作業は数週間に及んだという。開発者による修正対応と、運用者が先にパッチを適用する時間を確保するため、詳細は少なくとも2週間伏せるとしている。

現時点では、脆弱性の件数や深刻度、実際に悪用された兆候は公表されていない。Core Lightningは、ビットコイン本体のネットワークは稼働を続けているものの、その上で動作するウォレットや決済処理、Lightning関連ツールなどのソフトウェアには不具合が存在し得ると説明。パッチ公開後は、まず署名を確認してから適用するよう運用者に求めている。