LNbits fordert alle Serverbetreiber nach Angriffswelle zum Herunterfahren auf

LNbits, die Open-Source-Lightning-Wallet- und Kontoplattform, forderte am 8. November alle Betreiber auf, ihre Server sofort zu stoppen, nachdem das Projekt von einer „Angriffswelle“ gesprochen hatte – die Sicherheitspatches stehen noch aus.

„Alle LNbits-Nutzer sollten ihre LNbits-Server SOFORT stoppen“, teilte das Projekt am Sonntag um 8:56 Uhr ET auf X mit. „Nach einer Angriffswelle haben wir eine Reihe von Sicherheitspatches zu veröffentlichen.“

Das Projekt teilte später mit, dass es vorsorglich alle Instanzen auf seinem verwalteten Hosting-Dienst my.lnbits.com deaktiviert habe und dass die Dienste innerhalb von 24 Stunden wieder aufgenommen würden.

Die Software ermöglicht Betreibern die Erstellung von Wallets und Zahlungsanwendungen auf Basis einer angebundenen Finanzierungsquelle; die Dokumentation listet Backends wie LND und Core Lightning auf. Die Anweisung zum Herunterfahren richtete sich ausschließlich an LNbits-Server, nicht an jeden Node im Lightning Network. Mit anderen Worten: Die Anweisung betraf die Anwendungsschicht, die auf einem Lightning-Node läuft, nicht die Node-Backends selbst. Da eine LNbits-Instanz Guthaben für Nutzer halten kann, die die Wallet-Anwendungen eines Betreibers nutzen, ohne selbst Infrastruktur zu betreiben, kann eine Schwachstelle auf dieser Ebene auch die Gelder von Endnutzern gefährden – nicht nur die des Serverbetreibers.

Von der Paywall-Warnung zur vollständigen Abschaltung

Dem vollständigen Stopp-Befehl ging eine frühere LNbits-Warnung voraus, in der Betreiber aufgefordert wurden, die Paywall-Erweiterung sofort zu deaktivieren, während die Entwickler einen potenziellen Fehler untersuchten. Die anschließende Anweisung betraf alle LNbits-Server, nicht nur Installationen mit dieser Erweiterung.

Die Abschaltmitteilung nannte weder verwundbare Versionen noch den Angriffsweg oder eine Gesamtverlustsumme. Ohne einen Versionsbereich zum Abgleich konnten Betreiber allein aus der Ankündigung nicht feststellen, ob ihre eigene Installation betroffen war. Auch war keine Finanzierungsquellen-Konfiguration von der Anweisung ausgenommen, die Server offline zu nehmen.

Betreiber meldet Abhebungen von seiner Instanz

In einem Erfahrungsbericht auf X teilte der Betreiber Kevin Ravensberg mit, dass etwa 2,29 Millionen Satoshis – rund 0,0229 BTC – von neu erstellten Konten von seiner LNbits-Instanz abgehoben worden seien, bevor er den Server stoppen konnte. Er kündigte an, BitTipBot-Nutzer schadlos zu halten, sagte aber, dass diese erst wieder auf ihre Gelder zugreifen könnten, wenn LNbits die Schwachstellen gepatcht habe.

Sein Bericht veranschaulicht, wie ein Angriff auf eine einzelne Instanz auch Personen erreichen kann, die den Server selbst nie betrieben haben: Die betroffenen Guthaben gehörten in diesem Fall Nutzern eines Dienstes, der auf seiner Bereitstellung aufbaute.

Patches stehen noch aus

Zum Zeitpunkt der Veröffentlichung listete die GitHub-Releases-Seite des Projekts weiterhin v1.6.2, ein PostgreSQL-Backup-Hotfix vom 18. September, als neueste Version und führte kein Release auf, das die Angriffe vom Sonntag adressiert.

LNbits-Mitarbeiter Ben Arc sagte, die Patches „sollten innerhalb von 24–48 Stunden gemerged und verfügbar sein“.

Bis ein solches Release erscheint, gibt es für Betreiber keine gepatchte Version zum Upgraden, und die Anweisung zum Herunterfahren der Server galt zum Zeitpunkt der Veröffentlichung weiterhin. Konkrete Anhaltspunkte sind die GitHub-Releases-Seite für alles neuere als v1.6.2, das angekündigte 24-Stunden-Fenster für die Wiederherstellung von my.lnbits.com sowie das X-Konto des Projekts für eine aktualisierte Entwarnung.