ビットコインのライトニングネットワーク決済アプリであるブリンクは、同社の更新情報によると、攻撃者が限定数のカストディアル口座にアクセスし資金を流出させたことを受け、9月19日にすべてのサービスを停止した。ブリンクは修正を導入して検証した後、サービスを復旧したと述べた。

ブリンクによると、侵害の影響を受けたのは、同社がユーザーに代わって秘密鍵を保管するカストディアル口座のみだった。Sparkプロトコルを通じて自身の鍵を管理するノンカストディアルユーザーは影響を受けなかったという。同社は後に、侵害されたカストディアル口座は数十件程度であり、資金の大部分は安全に保たれたと明らかにした。

同社は被害が限定的だった理由として、小規模なホットウォレット構成要素と併用するマルチシグのコールドストレージを採用したウォレット設計を挙げた。インシデントを検知した後、ブリンクはアプリを停止し、緊急パッチを適用して、土曜日の夕方までにサービスを復旧した。今回のインシデントに関する報道では、修正の検証後、影響を受けなかった口座はアクセスを回復した一方、被害口座は一時的にロックされたままだったとされている。

ブリンクは、影響を受けたすべての口座を特定しており、損失を全額補償すると述べた。流出総額や正確な攻撃ベクトルは開示しておらず、詳細な事後検証報告を後日公表するとした。これらの詳細が依然として欠けているため、金銭的被害の規模と技術的な根本原因は不明なままである。

このインシデントは、エコシステムの各領域で事業者がソフトウェアのバグやセキュリティ問題に対処している、ライトニング関連アプリケーションにとって難しい時期に起きた。ブリンクはエルサルバドル、グアテマラ、ホンジュラス、ケニアの循環経済プロジェクトで利用されており、同社は一部の地域で、より多くのユーザーにノンカストディアルウォレットモデルへの移行をすでに促している。

重要な理由

今回の侵害により、カストディモデルがビットコイン決済インフラの中心的な論点に再び浮上した。ブリンクの主なメッセージは、事業者が管理する口座はリスクにさらされた一方、自己管理型ウォレットは影響を受けなかったというものであり、暗号資産における利便性と取引相手リスクのよく知られたトレードオフを改めて示している。

また、ブリンクは純粋に投機的な取引環境ではなく、実世界の決済回廊で事業を展開しているため、この問題は重要である。このような環境でのサービス停止と口座侵害は日常的な利用に影響を与え得るほか、ウォレット提供事業者に対し、カストディ上のエクスポージャーを減らし、ホットウォレット運用を強化し、より迅速かつ詳細なインシデント開示を行うよう圧力を高める可能性がある。