Bitcoin Core、秘密鍵を奪わず送金先を差し替え得るPSBTの不備に対策

Bitcoin Coreは、ユーザーが承認した支払先に資金が確実にひも付かない可能性がある取引への署名を防ぐ安全策を追加した。9月25日にマスターの開発ブランチへ取り込まれた変更で、部分署名済みビットコイン取引（PSBT）における限定的な欠陥を対象とする。Bitcoin Optechが10月2日にこの更新を取り上げた。 今回の問題は秘密鍵の漏えいには直結しない一方、特定条件下で受取人（宛先）が変更されても署名が有効なまま残り得る点がリスクとなる。原因は、入力を同じ位置の出力にコミットさせることを意図した署名方式「SIGHASH_SINGLE」の扱いにある。取引内で対応する位置に出力が存在しない場合、保護が崩れ方は使用する入力タイプによって異なる。 レガシー入力では、出力欠落時に固定のハッシュ値に対する署名が生成され得る。Bitcoin Core開発者によれば、同様の構造条件がそろう限り、その署名が同一鍵で管理される別の未使用アウトプット（UTXO）に対して再利用される可能性がある。SegWit v0取引では、署名が支出対象のコインとその金額にコミットするため保護は相対的に強いが、宛先出力が暗号学的に拘束されない余地が残る。 この結果、ウォレットや署名デバイスにとっては「提示された支払い内容」と「実際に署名が保証する内容」が一致しない認可上の問題が生じ得る。ソフトウェアがユーザーに一方の送金先を表示しながら、承認した受取人が変更されないことを暗号学的に担保しない署名を作れてしまう可能性があるためだ。 Bitcoin Coreはこれまでrawtransactionの署名インターフェースでは当該の端ケースを拒否していたが、PSBT経路（walletprocesspsbtを含む）では署名できる余地が残っていた。今回の修正はチェックを共通の署名生成ロジックへ移し、影響を受けるレガシーおよびSegWit v0入力の署名をブロックする。同一PSBT内にある他の正当な入力は処理を継続できる。 PSBTは、ソフトウェアウォレット、ハードウェアデバイス、オフライン署名者の間で取引を調整する用途で広く使われる。取引作成側が秘密鍵の支配権を渡さずに、別系統の署名者へ必要情報を受け渡せる仕組みだ。今回の対策は、鍵の安全性とは別にウォレット開発者が守るべき境界条件を強化する。すなわち、有効な署名はユーザーが実際に承認した取引内容にコミットしていなければならない、という要件である。 PSBTを定義するBitcoin Improvement Proposal 174（BIP-174）でも、署名者は受け入れられない署名モードを拒否すべきとし、代替指定がない場合はSIGHASH_ALLを推奨している。Bitcoin Coreの変更は、出力欠落という構成が署名段階へ到達しないよう明示的に遮断する。 現時点で、この安全策を含む本番リリースの提供は確認されていない。9月25日の変更は開発ブランチに取り込まれたが、10月4日時点で公開されているリリース一覧には修正済みバージョンの特定やバックポートの確定が示されていない。ウォレット事業者やハードウェア署名連携の提供者には、Bitcoin Coreのリリースを待つより先に、自社実装におけるSIGHASH_SINGLEリクエストの取り扱いを点検する判断が求められる。 （参考）Major Bitcoin Core update changes default wallet protocols, risking temporary disruption across popular apps 本記事はCryptoSlate掲載の"Bitcoin Core's new fix closes gap that could redirect funds without stealing keys"を基に再構成した。