ビットコイン・ライトニングノードの大多数が年越しの脆弱性ソフトを実行し続ける―調査結果

10月21日にBitcoin Data LabsのSaurabh Kumarが発表した調査によると、8月のセキュリティ公開で脆弱とされたビットコイン・ライトニングノードの大多数が利用可能なパッチを適用していないことが明らかになった。8月11日にフラグ付けされた550の公開LNDノードのうち、71％が10月13日時点で影響を受けるソフトウェアラインを使用し続けており、期間中にアップグレードしたのはわずか10％に過ぎない。この研究は、修正が1年以上前に利用可能であってもライトニングネットワークの支払インフラのセキュリティ確保に遅れが続いていることを強調している。

パッチ採用は長期的な修正にもかかわらず低いまま

8月の公開は、LNDバージョン0.19.0で修正された6つの脆弱性を指摘した。これは公開警告の446日前にリリースされた。にもかかわらず、フラグ付けされたノードの3分の2が10月まで脆弱なコードを実行し続けた。Kumarは、814日次の公開ネットワークグラフスナップショットを分析し、ノードが開発者に遅れを取ることが多いことを示し、LND 0.19から0.21のリリース間での中央値の移行時間は88日であると報告した。

配布チャネルがアップグレードタイミングを左右

調査では、最大のアップグレード波がUmbrelのリリースと一致していることが判明した。Umbrelはビットコインノードソフトウェアをバンドルする人気プラットフォームで、各波は262〜385ノードを含み、87％がUmbrelリリース後48時間以内に更新されたソフトウェア機能をブロードキャストした。しかし、Umbrelは通常、アップストリームリリースの19〜41日後に新しいLNDバージョンを配布し、パッチの利用可能性とエンドノードオペレーターへの展開の間に追加の遅延を生じさせた。

セキュリティ警告だけではアップグレードを促進しない

9つのLND脆弱性公開を通じて、Kumarは公開警告後に影響を受けるソフトウェアラインから離れるノードの速度に統計的に有意な加速がないことを観察した。小規模で局所的な対応は除外できないが、データは警告だけでは広範なパッチ適用を促すには不十分であることを示唆している。

次に注目すべき点

将来の研究では、Umbrelのようなプラットフォームを利用するノードオペレーターと手動更新を行うオペレーターを特定し、自動更新メカニズムがギャップを埋められるかどうかを検証する必要がある。ライトニングネットワークの今後のリリースと配布慣行の変化を監視することが、エコシステムがセキュリティ脆弱性への対応を改善できるかを評価する鍵となる。