自主管理型ビットコインウォレットのZeus Walletがサイバー攻撃を受け、自社インフラをオフライン化した。運営側は、顧客資産は安全に保全されており、Lightningネットワーク関連ソフトウエアの欠陥も確認されていないと説明している。
主なポイント
- Zeusは数時間以内に攻撃を封じ込め、その後インフラ全体を監査のためオフライン状態に維持している。
- 顧客資産の損失は発生しておらず、Lightningノードソフトウエアの脆弱性も見つからなかった。
- Lightning Service Provider（LSP）のチャネルが閉鎖されたユーザーには、サービス再開後に代替チャネルが提供される見通し。
Zeusへのサイバー攻撃
事案は水曜日に発生し、Cointelegraphは木曜日、Zeusが侵害内容を精査する間、関連システムを停止したと報じた。現時点でサービス復旧のタイムラインは公表されておらず、サービスは引き続き停止している。
8月5日付のセキュリティアップデートで、創業者のEvan Kaloudis氏は「今回のインシデントはZEUSのインフラに限定されたものとみている」と述べ、Lightningソフトウエアの脆弱性は確認されず、顧客資産の流出やリスクも生じていないと強調した。
同氏によれば、チームは数時間以内に攻撃への対処を完了しており、プラットフォームが再びリクエストを処理できるようになり次第、LSP接続が閉じられたユーザーに対して代替チャネルを発行する予定だという。攻撃の具体的な手口については公表されていない。
関連記事: Mythos 5は人間のコードレビュアーを欺くため偽の身元を構築していた
ビットコインウォレットのリスクと位置づけ
自主管理型ウォレットでは、秘密鍵の管理権限はユーザー自身が保持する一方で、ウォレット事業者側がチャネル管理、流動性ルーティング、スワップ、アプリの可用性などを支えるインフラサービスを運営している。このため、インフラ障害や停止が起きると、事業者が顧客残高を保管していなくても、各種機能へのアクセスが中断され得る一方、ユーザーが管理する鍵を移動させることなく復旧作業を進められるという構図になる。
Zeusのウォレットは現在もオフラインのままだ。同社は今回の侵害を受け、信頼実行環境（Trusted Execution Environment）や「エンクレーブ」と呼ばれる仕組み、さらに署名権限を潜在的に侵害され得るインフラから切り離すことで、サーバー侵害時の被害を最小化する「Validating Lightning Signer」プロジェクトの重要性が一段と高まったと指摘している。
今回の侵害は、Zeusが8月3日にスワップ機能を停止した決定に続くものだ。非カストディアル型ビットコインスワッププロバイダーであるBoltzが、プラットフォームの一時休止を発表したことを受けた措置であり、Zeusユーザーにとっては同一週内で2度目のサービス中断となった。ただし、両事案は別個のシステムに関わるものだという。
次に読む: Bitcoin Developers Find 85 Critical Bugs In 24-Hour AI Audit
