Die Bitcoin-Lightning-Wallet-Plattform LNbits hat die Version 1.7.0 veröffentlicht – ein dringendes Sicherheitsupdate, das im Zusammenhang mit einem schwerwiegenden Sicherheitsvorfall herausgegeben wurde und zuvor vorsorgliche Hinweise zur Abschaltung von Servern nach sich zog. Laut dem Projekt handelt es sich bei dem Release um ein kritisches Sicherheitspaket, das Schwachstellen, Authentifizierung, Zahlungsabwicklung und Erweiterungsverwaltung adressiert; Betreiber werden aufgerufen, so schnell wie möglich zu handeln. Allen LNbits-Nutzern wird empfohlen, dringend auf v1.7.0 zu aktualisieren.

LNbits ist eine freie Open-Source-Software, die auf Lightning-Network-Node-Backends wie LND und Core Lightning aufsetzt und Konto- und Wallet-Verwaltung für Betreiber und deren Nutzer bereitstellt. Die Plattform lässt sich mit Plug-in-Modulen erweitern, darunter die Paywall-Erweiterung, die in den Ereignissen vor dem Update eine Rolle spielte. Da jede LNbits-Instanz Wallets im Auftrag mehrerer Nutzer verwaltet, kann eine Schwachstelle in der Software direkt zu Verlusten für die Inhaber der dort geführten Guthaben führen – weshalb der Upgrade-Aufruf des Projekts an jeden Betreiber gerichtet ist.

LNbits ruft nach gemeldeten Verlusten zum Notfall-Upgrade auf

Das Update folgt auf eine Warnung von LNbits vom 8. November, als das Team Betreiber aufforderte, ihre Server angesichts von Angriffsspitzen herunterzufahren. Bereits früher am selben Tag hatte das Team Nutzer gebeten, die Paywall-Erweiterung zu deaktivieren, damit eine mögliche Schwachstelle untersucht werden konnte. Der Abstand von rund zwei Tagen zwischen diesen Warnungen und dem gepatchten Release zeigt, wie schnell Betreiber öffentlich zugänglicher Wallet-Infrastruktur handeln müssen, sobald eine Schwachstelle angegriffen wird.

Ben Arc, der Schöpfer von LNbits, räumte später ein, dass sowohl Nutzer als auch das Projekt Verluste erlitten hätten, und dass die Tage vor v1.7.0 besonders schwer gewesen seien.

Das Projekt kündigte das Release in einem Beitrag auf X am 10. November an:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Mindestens ein Betreiber hat öffentlich den Verlust von rund 2,29 Millionen Satoshis – etwa 0,023 BTC – gemeldet, nachdem auf einer LNbits-Instanz unautorisierte Nutzer registriert und Gelder abgehoben wurden. Das Projekt hat bislang noch keine vollständige Aufstellung der Verluste aller betroffenen Betreiber veröffentlicht.

Ein Upgrade allein reicht möglicherweise nicht aus

LNbits hat davor gewarnt, dass ein Upgrade allein möglicherweise nicht jeden Betreiber schützt. Nach Angaben des Projekts ist ein Betreiber gefährdet, dessen Zugangsdaten bereits kompromittiert sein könnten; es bestehe stets die Möglichkeit, dass Wallet-Keys, zum Funding benötigte Zugangsdaten oder andere Geheimnisse auch nach dem Patchen der Wallet-Software weiterhin gültig sind. Nutzer, die vermuten, dass ihre Instanz kompromittiert wurde, sollten ihre Zugangsdaten ändern und die Instanz möglicherweise auf einem neuen Server neu aufbauen. Dieser Hinweis spiegelt eine Realität wider, die aus Open-Source-Finanzsoftware bekannt ist: Das Schließen der Code-Schwachstelle stoppt neue Angriffe, neutralisiert jedoch nicht von selbst möglicherweise bereits offengelegte Geheimnisse.

Diese Unterscheidung ist bedeutsam, weil das Problem nicht bei Bitcoin oder dem Lightning-Network-Protokoll liegt, sondern bei LNbits-Software-Deployment.

v1.7.0 bringt 2FA, BOLT12 und On-Chain-Wallet-Support

Über die Sicherheitsfixes hinaus ist v1.7.0 ein umfangreiches Feature-Release. Die Release Notes auf GitHub führen neue Funktionen auf, darunter TOTP-Zwei-Faktor-Authentifizierung, On-Chain-Wallet-Support, BOLT12-Offer-Zahlungen, NIP-17-Support, einen Job-Scheduler und automatische Erweiterungs-Updates. Davon sticht die TOTP-Zwei-Faktor-Authentifizierung – ein zeitbasierter Code, der zusätzlich zum Passwort erforderlich ist – hervor, angesichts des Fokus des Updates auf Authentifizierung und Kontozugriff. Das Release enthält zudem zahlreiche Fixes für Zahlungsbenachrichtigungen, Lightning-Backends, Fiat-Wallets und Wasm-Erweiterungen.

Die zahlungsbezogenen Fixes betreffen die doppelte Verarbeitung von BOLT12-Retries, die Core-Lightning-Fee-Berechnung sowie die Verbuchung von Service-Gebühren bei LND-Selbstzahlungen. Die Ankündigung umfasst außerdem Software-Upgrades, mit denen LNbits auf Python 3.13 und Pydantic 2 umgestellt wird, sowie weitere Sicherheitsverbesserungen.

Für Betreiber ist die neue Funktionalität jedoch nicht die oberste Priorität. LNbits ruft ausdrücklich dazu auf, dass alle bestehenden Deployment vor der Wiederaufnahme des Normalbetriebs auf v1.7.0 aktualisieren. Die Release Notes bleiben die maßgebliche Referenz für diesen Prozess, und eine etwaige weitere Verlustbilanz des Projekts wird die Zahl sein, auf die es zu achten gilt, während die Community die Folgen aufarbeitet.

Quelle: CryptoNinjas