LNbits veröffentlicht dringendes 1.7.0-Sicherheitsupdate nach Angriffen am 8. November

LNbits, die Open-Source-Plattform für Lightning-Wallets und Kontoverwaltung, hat am 10. November die Version 1.7.0 als dringendes Sicherheitsupdate veröffentlicht und alle Betreiber angewiesen, den Patch zu installieren, bevor sie ihre Server wieder online bringen. Das offizielle X-Konto des Projekts beschrieb die Veröffentlichung als „SECURITY UPDATE“ und verwies die Betreiber auf die GitHub-Release-Notes mit der vollständigen Änderungsliste.

LNbits wurde 2019 von Ben Arc als freies Open-Source-Projekt gegründet und bietet Mehrbenutzerkonten sowie eine umfangreiche Suite an Erweiterungen auf Basis beliebiger Lightning-Funding-Quellen, darunter LND und Core Lightning. Es wird sowohl als selbst gehostete Installation als auch über verwaltete Instanzen betrieben.

Angriffe begannen am 8. November

Der Vorfall begann am Wochenende. Am 8. November rief das Projekt die Nutzer öffentlich auf, ihre Server sofort herunterzufahren, und erklärte, man wolle lieber auf Nummer sicher gehen, während die Sicherheitspatches vorbereitet wurden. LNbits deaktivierte zudem jede Instanz seines eigenen gehosteten Dienstes.

Betreiberberichte beschrieben die Erstellung unberechtigter Konten mit anschließenden Abhebungen von Guthaben der Nutzer. Kevin Ravensberg, der den Telegram-Trinkgeld-Dienst BitTipBot betreibt, meldete, dass Angreifer auf seiner Instanz neue Konten eröffneten und zwischen etwa 09:22 und 14:00 UTC am 8. November 2.285.545 Satoshi abhoben – rund 0,0229 Bitcoin (BTC).

Laut der offiziellen Upgrade-Anleitung, die zusammen mit der Veröffentlichung erschien, sind alle Versionen vor 1.7.0 betroffen, und Guthaben auf früheren Builds sind der Gefahr eines Diebstahls ausgesetzt. Das Team bestätigte, dass 1.7.0 Fixes als Reaktion auf den am 8. November entdeckten Vorfall enthält, und kündigte einen vollständigen technischen Bericht zur Schwachstelle an. Die Ankündigung nennt die Schwachstelle nicht, und eine aggregierte Gesamtsumme der Verluste über alle betroffenen Instanzen wurde nicht veröffentlicht.

Rotation der Schlüssel und Neuaufbau kompromittierter Server

Die Installation des Patches und die Wiederherstellung nach einer Kompromittierung sind getrennte Aufgaben. LNbits warnte, dass ein Update bereits erlangte Angreiferzugriffe nicht automatisch widerruft, sodass ein aktualisierter Server unsicher bleiben kann, wenn er während des Angriffszeitraums betroffen war. Die Anleitung weist Betreiber, die eine Kompromittierung vermuten, an, zunächst Logs und Aufzeichnungen zu sichern und anschließend einen neuen Server mit 1.7.0 aufzusetzen, statt dem alten Rechner zu vertrauen. Diese Aufzeichnungen sind für spätere forensische Untersuchungen wichtig, da der angekündigte technische Bericht auf Nachweisen zum Angriffsweg basieren wird.

Vom neuen Server aus sollte der Super Admin den privaten Schlüssel jeder Nutzer-Wallet rotieren, wodurch der alte Schlüssel ungültig wird, und jede verbundene App muss mit dem Ersatz-Schlüssel aktualisiert werden. Zugangsdaten der Funding-Quelle wie API-Schlüssel oder Macaroons müssen an der Quelle widerrufen und neu ausgestellt werden; auch weitere in den Servereinstellungen gespeicherte Geheimnisse sollten rotiert werden. Bestehende Erweiterungsverbindungen – darunter NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA – müssen abgebaut und mit den neuen Zugangsdaten neu aufgebaut werden.

Was die Version 1.7.0 ändert

Die Release-Notes beschreiben Härtungen bei Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung sowie Aktualisierungen von Abhängigkeiten, wobei die konkrete Änderung, die den Angriffsweg schließt, noch nicht öffentlich ist. Die Version 1.7.0 führt zudem neue Funktionen ein: On-Chain-Wallet-Unterstützung, BOLT12-Offer-Zahlungen, TOTP-Zwei-Faktor-Authentifizierung, NIP-17-Unterstützung, einen Job-Scheduler, automatische Erweiterungs-Updates und Hold-Invoice-Unterstützung für die LNbits-Funding-Quelle.

SlowMists Vorfallprotokoll führt dieselbe Zahl von 2.285.545 Satoshi als Verlustfall einer einzelnen Instanz, und die Ankündigung enthält keine Behauptung einer Kompromittierung des Bitcoin-Netzwerks oder des Lightning-Protokolls selbst. Der bestätigte Schaden betrifft bislang Betreiberserver, nicht die Protokollebene.

Laut COINOTAG ist die nicht offengelegte Ursache der kritischste Punkt dieser Geschichte. LNbits arbeitet konzeptionell als Hot Wallet, und die offizielle Anleitung weist Betreiber an, nur operationale Guthaben online zu halten und Überschüsse auf Offline-Schlüssel zu verlagern. Bis der angekündigte technische Bericht den Angriffsweg benennt, sollte jede ungepatchte oder frisch aktualisierte Instanz als potentielles Ziel behandelt werden – der Grund, warum der Patch zusammen mit einem vollständigen Verfahren zur Rotation der Zugangsdaten ausgeliefert wird.

Der Originalbericht wurde von COINOTAG veröffentlicht.