Die Bitcoin-Lightning-Wallet-Plattform LNbits hat die Nutzer dringend aufgefordert, sofort auf die neueste Version zu aktualisieren, nachdem eine Angriffswelle auf LNbits-Instanzen gemeldet wurde, bei der Gelder gestohlen wurden.

Das Projekt veröffentlichte die Version 1.7.0 am Dienstag, zwei Tage nach der ersten öffentlichen Warnung, und bezeichnete sie als kritisches Release, das Schwachstellen behebt und Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung stärkt. LNbits warnte jedoch, dass die Aktualisierung allein Installationen nicht schützt, deren Zugangsdaten bereits kompromittiert wurden.

„Es waren sehr herausfordernde Tage, in denen wir unermüdlich daran gearbeitet haben, das v1.7-Release zu veröffentlichen, nachdem unsere Nutzer und wir Verluste erlitten haben“, sagte LNbits-Gründer Ben Arc in einem Beitrag auf X, der auch auf Nostr geteilt wurde.

LNbits stellt Software für Bitcoin-Lightning-Wallets bereit – aufbauend auf dem Lightning Network, Bitcoins Schicht für schnelle, kostengünstige Zahlungen – sowie Zahlungsanwendungen, darunter Händler-Checkouts, Trinkgeld-Dienste und Paywalls. Da LNbits darauf ausgelegt ist, auf den eigenen Servern der Betreiber zu laufen, hängt die Sicherheit jeder Installation von der jeweiligen Person ab, die sie betreibt. Arc sagte im Mai, dass rund 200.000 Menschen die Software selbst betreiben.

LNbits warnte Betreiber erstmals am Sonntag, die Paywall-Erweiterung zu deaktivieren, während eine mögliche Schwachstelle untersucht wurde. Gut eine Stunde später rief das Projekt die Nutzer dringend auf, ihre LNbits-Server sofort herunterzufahren, mit Verweis auf eine Angriffswelle, und nahm zudem seine eigenen gehosteten Installationen vom Netz.

In einer Ankündigung zum Notfall-Patch teilte LNbits mit, dass die Schwachstelle alle Versionen vor 1.7.0 betrifft und Gelder dem Risiko eines Diebstahls aussetzen. Das Unternehmen hat den Exploit und die Zahl der betroffenen Betreiber bislang nicht beziffert und kündigte einen separaten Bericht mit den Einzelheiten des Exploits an. Bis zu diesem Bericht bleibt das Gesamtausmaß der Verluste über selbst betriebene Instanzen hinweg offen.

LNbits warnte außerdem, dass Zugangsdaten, die vor dem Upgrade offengelegt wurden, Angreifern danach weiterhin Zugang gewähren könnten. Es rief Betreiber auf, Wallet-Schlüssel zurückzusetzen, Zugangsdaten der Finanzierungsquellen zu ersetzen und in den LNbits-Einstellungen gespeicherte Geheimnisse als kompromittiert zu betrachten, und empfahl, im Verdachtsfall auf einen neuen Server umzuziehen.

Ein Nutzer, Kevin Ravensberg, berichtete, Angreifer hätten seine LNbits-Instanz ausgenutzt und rund 2,3 Millionen Satoshis, also 0,023 Bitcoin, über neu erstellte Konten abgehoben, bevor er den Server herunterfahren konnte.

Cointelegraph hat Ben Arc und LNbits um eine Stellungnahme gebeten.