LNbits, die Open-Source-Wallet- und Kontenplattform für das Lightning Network, hat am 10. November die Version 1.7.0 als dringendes Sicherheitsupdate veröffentlicht und alle Betreiber angewiesen, vor dem Neustart ihrer Server ein Upgrade durchzuführen. Das offizielle X-Konto des Projekts kündigte das Release mit einem Link zum GitHub-Release an und bezeichnete es als „SECURITY UPDATE“.

Der Patch reagiert auf eine Angriffswelle, die am Wochenende begann. Am 8. November teilte LNbits auf X mit, dass alle Nutzer ihre LNbits-Server sofort stoppen sollten, nachdem aktive Angriffe gemeldet worden waren, und fügte hinzu, dass Sicherheitspatches vorbereitet würden und es „besser sei, auf der Seite der Vorsicht zu irren“. Das Projekt deaktivierte zudem Instanzen auf seinem gehosteten Dienst.

Mehrere Berichte dokumentierten unbefugte Kontoerstellungen und Geldabhebungen. Kevin Ravensberg, Betreiber des Telegram-Trinkgeld-Dienstes BitTipBot, teilte öffentlich mit, dass Angreifer neue Konten auf seiner Instanz erstellten und zwischen etwa 09:22 und 14:00 UTC am 8. November 2.285.545 Satoshis (etwa 0,0229 BTC) abhoben.

Laut der gemeinsam mit dem Release veröffentlichten offiziellen Upgrade-Anleitung sind alle Versionen vor 1.7.0 betroffen, und „Gelder, die auf früheren Versionen von LNbits laufen, riskieren gestohlen zu werden.“ Das Projekt erklärte, dass 1.7.0 Sicherheitsfixes für den am 8. November entdeckten Vorfall enthält und dass ein vollständiger technischer Bericht über die Schwachstelle folgen wird. Da LNbits Multi-User-Konten und Erweiterungen auf einer einzigen Finanzierungsquelle bereitstellt, geht die Bedeutung des Updates über einzelne Betreiber hinaus und betrifft auch die Nutzer ungepatchter Instanzen – ob selbst gehostet oder verwaltet –, deren Guthaben von der darunterlaufenden Software abhängen.

Betreiber, die eine Kompromittierung vermuten, wird geraten, einen neuen Server aufzusetzen, da ein Update allein den Zugriff, den ein Angreifer möglicherweise bereits erlangt hat, nicht entfernen kann. Weitere Wiederherstellungsschritte umfassen das Rotieren aller Nutzer-Wallet-Schlüssel als Super Admin, das Ersetzen der Zugangsdaten der Finanzierungsquelle (API-Schlüssel oder Macaroons), das Rotieren weiterer in den Einstellungen gespeicherter Geheimnisse sowie die Überprüfung oder Neuerstellung von Verbindungen für Erweiterungen wie NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA.

Die GitHub-Release-Notizen beschreiben umfangreiche Sicherheitsverbesserungen bei Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung sowie Abhängigkeits-Updates. Die Version bringt zudem neue Funktionen mit, darunter On-Chain-Wallet-Unterstützung, BOLT12-Offer-Zahlungen, TOTP-Zwei-Faktor-Authentifizierung, NIP-17-Unterstützung, einen Job-Scheduler, automatische Erweiterungs-Updates und Hold-Invoice-Unterstützung für die LNbits-Finanzierungsquelle.

Das Projekt erinnert Betreiber daran, dass LNbits als Hot Wallet fungiert: Nur operativ benötigte Guthaben sollten online bleiben, Aktivitäten sollten regelmäßig überprüft und überschüssige Gelder auf Offline-Schlüssel übertragen werden – Standardpraxis für jeden Lightning-Dienst, der Gelder online hält.

LNbits wurde 2019 von Ben Arc als freies Open-Source-Projekt gegründet und integrierte später eine kommerzielle Einheit zur Unterstützung der Entwicklung. Die Software bietet Multi-User-Konten und eine große Suite von Erweiterungen auf Basis beliebiger Lightning-Finanzierungsquellen, einschließlich LND und Core Lightning. Bitcoin Magazine stellte das Projekt im September 2024 vor und beschrieb es als „das WordPress für deinen Bitcoin-Lightning-Node“ sowie wies auf seine weitverbreitete Nutzung durch Einzelpersonen, Unternehmen und Node-Betreiber hin, die zugängliche Lightning-Tools suchen. Es wird sowohl selbst gehostet als auch über verwaltete Instanzen weit verbreitet eingesetzt.

Zum Zeitpunkt der v1.7.0-Ankündigung hat das Projekt noch keine Gesamtsumme der verlorenen Gelder über alle betroffenen Instanzen veröffentlicht, und der versprochene technische Bericht über die Schwachstelle steht noch aus – zwei Fäden, die das Gesamtbild des Vorfalls prägen werden. Betreiber, die noch nicht aktualisiert haben, werden auf die offizielle Anleitung verwiesen, bevor sie ihre Server wieder online bringen.

Dieser Beitrag, LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds, erschien zuerst auf Bitcoin Magazine und wurde von Juan Galt verfasst.