LNbits veröffentlicht 1.7.0 als dringendes Sicherheitsupdate nach den Angriffen vom 8. November
Wichtige Erkenntnisse
- •LNbits hat am 10. November die Version 1.7.0 als dringendes Sicherheitsupdate veröffentlicht, nachdem am 8. November Angriffe auf LNbits-Instanzen erfolgt waren.
- •Das Projekt wies jeden Betreiber an, die Version 1.7.0 zu installieren, bevor ein betroffener Server wieder online gebracht wird.
- •LNbits ist eine freie Open-Source-Python-Anwendung zum Self-Hosting von Wallet- und Kontosystemen auf dem Lightning Network, mit Unterstützung für mehrere Nutzer, Rechnungsstellung und Erweiterungen wie Point-of-Sale- und Trinkgeld-Tools sowie Verbindungen zu Funding-Quellen wie LND und Core Lightning.
- •Da es für die selbst gehostete Plattform keinen zentralen Anbieter gibt, ist jeder Administrator für die Anwendung des Updates verantwortlich, und Kontoinhaber verlassen sich auf ihre Betreiber.
- •Die Ankündigung ließ technische Details zu den Angriffen offen, einschließlich der Methode der Kompromittierung und der Anzahl der betroffenen Instanzen; weitere Mitteilungen werden über die offiziellen Kanäle des Projekts erwartet.
LNbits, die Open-Source-Wallet- und Kontoplattform für das Lightning Network, hat am 10. November die Version 1.7.0 als dringendes Sicherheitsupdate veröffentlicht und jeden Betreiber angewiesen, diese zu installieren, bevor Server wieder online gebracht werden.
Die Anweisung folgte auf Angriffe auf LNbits-Instanzen am 8. November. Das offizielle X-Konto des Projekts bezeichnete die Veröffentlichung in einem Beitrag zur Ankündigung der Version als „SECURITY UPDATE“.
Was ist LNbits?
LNbits ist eine freie Open-Source-Anwendung in Python, die auf dem Lightning Network, Bitcoins Layer-2-Zahlungsprotokoll, aufsetzt. Sie ermöglicht Einzelpersonen, Unternehmen und Communities, Wallet- und Kontosysteme selbst zu hosten, mit Unterstützung für mehrere Nutzer, Rechnungsstellung und einem Erweiterungsframework, das Tools wie Point-of-Sale- und Trinkgeld-Funktionen hinzufügt. Die Plattform kann mit mehreren Lightning-Funding-Quellen verbunden werden, darunter LND und Core Lightning.
Da LNbits meist von selbst hostenden Betreibern statt über einen zentralen gehosteten Dienst eingesetzt wird, werden Upgrade-Hinweise in der Regel direkt über die offiziellen Kommunikationskanäle des Projekts, einschließlich seines X-Kontos, an Serveradministratoren übermittelt. Dieses Deployment-Modell prägt auch den Verlauf eines Sicherheitsvorfalls: Es gibt keinen zentralen Anbieter, der Korrekturen im Namen der Nutzer bereitstellt, sodass die Reaktion auf ein dringendes Release wie 1.7.0 bei jedem einzelnen Administrator liegt – und jeder, der ein Konto auf einer LNbits-Instanz besitzt, verlässt sich letztlich darauf, dass sein Betreiber dem Hinweis nachkommt.
Anweisungen an Betreiber
Laut der Ankündigung soll die Installation der Version 1.7.0 abgeschlossen sein, bevor ein betroffener Server wieder online gebracht wird. Praktisch gesehen ist das Release der festgelegte Behebungsschritt des Projekts nach den Vorfällen vom 8. November, und Instanzen, die noch ältere Versionen betreiben, haben die genannte Bedingung für die Wiederaufnahme des Betriebs noch nicht erfüllt.
Die hier zusammengefasste Ankündigung enthielt keine weiteren technischen Details zu den Angriffen vom 8. November, etwa die Methode der Kompromittierung oder die Anzahl der betroffenen Instanzen. Weitere Mitteilungen – ob technische Details, zusätzliche Sicherheitshinweise oder follow-up-Anleitungen – würden über die offiziellen Kommunikationskanäle des Projekts veröffentlicht, dieselben Kanäle, über die die Betreiber die Upgrade-Anweisung erhielten, womit diese Kanäle der naheliegende Ort sind, um die Lage weiter zu verfolgen.
Dieser Inhalt wurde erstmals auf COINOTAG veröffentlicht: https://en.coinotag.com/lnbits-1-7-0-urgent-security-update-november-8-attacks
