ビットコイン決済ツールに2つの不具合、資金流出の恐れも

ビットコインのLightningアプリ開発に使われるツールキット、Lightning Development Kit（LDK）が、9月9日にバージョン0.2.6を公開しました。ノードの資金がわずかに流出する不具合と、保存されたチャネル状態を読み込めなくなる不具合が修正されています。

1つ目はスプライスに関わる問題です。スプライスは既存の決済チャネルに資金を追加または削除する仕組みで、チャネルの資金出力を置き換える取引によって行われます。この取引の費用は参加者で分担されますが、悪意ある相手方が手数料を過大に割り当てさせ超過分を自らの出力に回せる可能性がありました。上限額は示されていません。

2つ目は、同じ支払いハッシュを共有する2つの支払い契約が関係します。一方が転送された後に不正な支払いを受け取って即座に拒否すると、チャネルと支払いを管理するChannelManagerの保存状態を読み込めなくなる場合があります。ノードの再起動時には保存状態をメモリへ復元する処理が必要なため、通常の再起動が完了しません。

リリース告知では、実際の損失や悪用されたアプリケーションは確認されていないとされています。LDKは中核部分が各アプリに組み込まれる設計のため、修正の適用は開発側の作業となります。該当するチームにとっては、v0.2.6の取り込みが当面の課題になりそうです。

記事ソース：資料