BTCPay関連LND資格情報流出で報奨金、Lightning決済の運用防衛が焦点に

Lightning決済の弱点

Lightning決済は高速で手数料が低い一方、常時稼働するノードと管理APIに依存する。LND資格情報が流出すれば、秘密鍵そのものが盗まれていなくても、資金移動の権限を奪われる可能性がある。

BTCPay Serverのようなセルフホスト型決済は、事業者に自由度を与えるが、更新、監視、バックアップ、アクセス権限の管理も事業者側の責任になる。

実務上の対策

決済事業者は、APIトークンの権限範囲、公開ポート、管理画面の認証、決済上限、チャネル残高、ログ監視を確認すべきだ。脆弱性発覚時に接続を止める判断基準も事前に決めておく必要がある。

Lightningは小口決済の有力インフラだが、導入すれば安全になるわけではない。安全性は、ソフトウェア選定と日々の運用管理を合わせて初めて成立する。

この記事の著者

小宮滉

コインチェック株式会社を経て、現在はGUILD株式会社および一般社団法人Web3人材マネジメント協会の代表理事を務める。

Web3・仮想通貨分野では、「NGG（NinjaGuild_Japan）」というコミュニティの運営や、「IVS Crypto THE DEMODAY」MetaMeトラックでの優勝など、多くの実績を有する。
また、Web3・ブロックチェーン領域の開発を中心に活動しており、LINEおよびKakaoが支援するパブリックブロックチェーン「Kaia」のアンバサダーとしても活躍。LINEヤフー株式会社のグループ会社であるLINE NEXTとエージェンシー契約を締結し、LINE Mini Dappの導入支援を行っている。