2026年11月8日、ライトニングネットワーク向けオープンソースのウォレット・決済プラットフォームであるLNbitsは、全サーバーオペレーターに対し即時にインスタンスを停止するよう緊急アドバイザリを発表しました。この警告はプロジェクトのXアカウントに13:56 UTCで掲載され、すでにBittipbotサービスから2,285,545サトシ（約0.0229 BTC）が流出したと報告されています。コアコントリビューターのBen Arcは、セキュリティパッチが準備中で、24〜48時間以内にリリースされると強調し、コミュニティに広く警告を拡散するよう呼びかけました。

攻撃の範囲と即時的な影響

このインシデントはオランダのオペレーターKevin Ravensbergによって最初に報告されました。彼のLNbits搭載BittipbotがTelegram上で攻撃者により新規アカウントが作成され、同日09:22〜14:00 UTCの間に資金が引き出されました。Ravensbergは被害ユーザーへ個別に返金することを約束していますが、盗まれた資金へのアクセスは修正が完了するまでブロックされたままです。LNbitsはPaywall拡張機能のオペレーターにも12:33 UTCに機能を無効化するよう指示し、脆弱性が単一モジュールに限定されないことを示しました。プロジェクトのホストサービスmy.lnbits.comは停止され、開発者はパッチ適用と検証が完了次第、運用再開が可能になると述べています。

ライトニングネットワーク全体のセキュリティ状況

LNbitsの停止は、ライトニングネットワークインフラが不安定な時期に重なります。2026年を通じて、Core Lightning、Lightning Development Kit（LDK）、Eclairといった主要実装の開発者は、AI支援による報告やDoS脆弱性、チャネル管理の弱点など、一連の脆弱性に対処してきました。8月には、重要パッチが推奨された後、Core Lightningノードの約22％がオフラインとなりました。最近数か月でネットワーク容量も低下しており、newhedge.ioは7月以降に1,100 BTC以上が失われ、総容量が2022年中頃の水準に戻ったと報告しています。これらの動向は、プロトコル自体だけでなく、その上に構築された多数のアプリケーションのセキュリティ確保が依然として課題であることを示しています。

今後注目すべき点

ステークホルダーは、LNbitsの公式チャンネルで約束されたセキュリティパッチのリリースとホストサービス再開のタイムラインを注視すべきです。未公開のままの不正アカウント作成に利用された具体的なエクスプロイトにも追加の検証が入る見込みです。類似のモジュラー拡張を使用している他のライトニングベースアプリケーションのオペレーターも、予防的なアドバイザリを発出する可能性があります。最後に、パッチがエコシステム全体に展開される中で、ネットワーク容量指標が回復傾向にあるか、さらなる低下が続くかがライトニングコミュニティの注目点となります。