セルフホスト型ビットコイン管理基盤「Alby Hub」に重大な脆弱性、外部公開環境でウォレット乗っ取りの恐れ

要点

• ビットコインウォレット「Alby Hub」の旧バージョンに、インターネット公開時に第三者がウォレットを乗っ取り資金を送金できる重大な脆弱性が判明した。

• 影響を受けるのは2025年8月以前にリリースされたバージョン1.7.0から1.18.5までで、すでに1件の被害が報告されている。

• 2025年8月公開のバージョン1.19.0以降で修正済みであり、開発元は最新のバージョン1.24.0への更新と外部アクセスの遮断を呼びかけている。

• 過去の公式導入ガイドに管理画面をインターネット上に公開する手順が含まれていたことが、設定露出の背景として指摘されている。

• ビットコイン関連ソフトウェアを手がけるAlby（アルビー）は2026年9月9日、同社のセルフホスト型管理ソフトウェア「Alby Hub」に重大な脆弱性が存在すると警告した。影響を受ける旧バージョンをインターネット上に公開している場合、第三者にウォレットを遠隔から掌握され、保管資金を不正に送金される恐れがあるという。同社によるとすでに1件の被害が確認されており、利用者に対して外部からのアクセス遮断と最新版への更新を強く求めている。

脆弱性の概要と影響を受けるバージョン

Alby Hubは、ビットコインの小額決済ネットワーク「ライトニングネットワーク」に対応したセルフホスト型のウォレットソフトウェアだ。利用者が自身のPCやサーバーでソフトウェアを稼働させ、暗号資産を自ら管理する仕組みとなっている。

今回の脆弱性の影響を受けるのは、2025年8月以前にリリースされたバージョン1.7.0から1.18.5までだ。ただし、この欠陥が悪用されるのは、利用者がAlby HubのWeb管理インターフェースをインターネット経由でアクセス可能な状態に公開していた場合に限られるとしている。

修正は2025年8月29日に公開されたバージョン1.19.0で施されており、それ以降のリリースや現行の最新版であるバージョン1.24.0を利用している環境は影響を受けない。

Albyによると、これまでに1件のユーザーから被害の報告を受けたものの、金銭的な損失が発生したかどうかは明かされていない。なお、具体的な欠陥の内容や技術的詳細については、セキュリティ上の慣例である責任ある開示手順に従い、後日公表される予定だという。

利用者に求められる対処手順

Albyは、古いバージョンを利用しているユーザーに対し、以下の段階的な対応を案内している。

まず稼働中のバージョンを確認し、バージョン1.18.5以前である場合は、管理インターフェースへの外部アクセスを直ちに遮断する必要がある。コンテナ仮想化技術であるDockerを利用している環境では、ポート転送の設定をローカル接続のみを許可する「127.0.0.1:8080:8080」に変更する。また、クラウドサーバー上で運用している場合は、ファイアウォール設定でポート8080へのアクセスを管理者自身のIPアドレスのみに制限するよう求めている。

その上で、現行最新のバージョン1.24.0へのアップデートを実施するよう指示している。影響を受けるバージョンを利用し、かつインターネットからアクセス可能な状態にしていたユーザーに対しては、更新完了後にロック解除パスワードを変更した上で、同社のセキュリティ窓口へ連絡することを推奨している。

ただし同社は、ソフトウェアの更新だけで既に侵入した攻撃者のアクセス権を完全に排除できるかについては言及していない。また、パスワードの変更によって具体的にどのような状態や権限が無効化されるのかについても、公開情報では明らかにされていない。

外部に露出した背景と公式ドキュメントの課題

Alby Hubは本来、外部から遮断されたプライベートネットワーク内での運用を想定しており、Webインターフェースへのアクセスにはログイン認証が必要となる。しかし、同ソフトウェアは特定のマシン内部からだけでなく、マシンが備えるすべてのネットワークインターフェースからの通信を待ち受ける仕様になっていた。

プロジェクトのドキュメントに外部公開を避ける警告が追加されたのは、2026年9月7日の改修によるものだ。その改修内容によると、それまでの複数のセットアップガイドでは「ローカルホスト（自身のエンドポイント）でのみ稼働する」と説明されながら、実際にはすべてのネットワークインターフェースで待ち受けていたという記述の食い違いが存在していた。この修正に伴い、公式のDockerファイルも全アドレス向けの設定からローカルホスト限定の設定へと改められた。

一方で、警告が出された9月9日時点においても、クラウドサーバー向けの導入ガイドには外部公開を前提とした記述が残されていた。DigitalOcean向けのガイドではブラウザからアクセスするためにパブリックIPアドレスを有効化するよう案内し、Hetzner向けのガイドでもポート8080のファイアウォールルールとして「すべてのIPv4およびIPv6」を許可する設定例を掲載していた。

過去の設定不備による事例とプラットフォームの対応

Alby Hubが外部に露出したことによる乗っ取りトラブルは、過去にも発生している。2025年11月には、ウォレット内の資金が抜き取られたと訴えるユーザーに対し、Albyが「サーバーがインターネット上に公開されていたため外部からアクセス可能だった」と回答した事例があった。

ただし同社によると、この過去の事例は初期セットアップが未完了でパスワードが設定されていなかったため、第三者が外部からアクセスしてセットアップを完了させたものであり、今回の脆弱性とは異なる事象だという。

この事案を受けて、ノード管理プラットフォームのUmbrelでは、Alby HubをUmbrel自身の認証機能の保護下に置く改修が実施された。現在、Umbrel等のアプリストアでは今回の脆弱性が修正されたバージョンが配信されている。