LNbits, la plataforma de código abierto de wallets y cuentas de la Lightning Network, publicó la versión 1.7.0 el 10 de noviembre como una actualización de seguridad urgente e instruyó a todos los operadores a actualizar antes de reiniciar sus servidores. La cuenta oficial de X del proyecto anunció la versión con un enlace a la versión en GitHub, etiquetándola como "SECURITY UPDATE".

El parche responde a una ola de ataques que comenzó el fin de semana. El 8 de noviembre, LNbits publicó en X que todos los usuarios debían detener sus servidores LNbits de inmediato tras reportar ataques activos, añadiendo que se estaban preparando parches de seguridad y que era "mejor pecar de cautelosos". El proyecto también deshabilitó las instancias en su servicio alojado.

Múltiples reportes documentaron la creación de cuentas no autorizadas y retiros de fondos. Kevin Ravensberg, operador del servicio de propinas de Telegram BitTipBot, declaró públicamente que atacantes crearon nuevas cuentas en su instancia y retiraron 2,285,545 satoshis (aproximadamente 0.0229 BTC) entre aproximadamente las 09:22 y las 14:00 UTC del 8 de noviembre.

Según la guía oficial de actualización publicada junto con la versión, todas las versiones anteriores a la 1.7.0 están afectadas y "los fondos que operan en versiones previas de LNbits corren riesgo de ser robados". El proyecto indicó que la 1.7.0 contiene correcciones de seguridad que atienden el incidente descubierto el 8 de noviembre y que un informe técnico completo sobre el exploit se publicará más adelante. Dado que LNbits proporciona cuentas multiusuario y extensiones sobre una única fuente de financiamiento, la importancia de la actualización va más allá de los operadores individuales hasta los usuarios de instancias sin parche, ya sea autoalojadas o administradas, cuyos saldos dependen del software que corre debajo de ellos.

Se recomienda a los operadores que sospechen un compromiso configurar un servidor nuevo, ya que actualizar por sí solo no puede eliminar el acceso que un atacante ya haya obtenido. Los pasos adicionales de recuperación incluyen rotar todas las claves de wallet de usuario como Super Admin, reemplazar las credenciales de la fuente de financiamiento (API keys o macaroons), rotar otros secretos almacenados en la configuración y revisar o recrear las conexiones de extensiones como NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA.

Las notas de la versión en GitHub describen un extenso refuerzo de seguridad en autenticación, gestión de extensiones y manejo de pagos, además de actualizaciones de dependencias. La versión también incluye nuevas funciones, como soporte de wallet on-chain, pagos de ofertas BOLT12, autenticación de dos factores TOTP, soporte de NIP-17, un programador de tareas, actualizaciones automáticas de extensiones y soporte de facturas hold para la fuente de financiamiento de LNbits.

El proyecto recuerda a los operadores que LNbits funciona como una hot wallet: solo deben mantenerse en línea los saldos operativos, la actividad debe revisarse con regularidad y los fondos excedentes deben moverse a claves offline, una práctica operativa estándar para cualquier servicio de Lightning que mantenga fondos en línea.

LNbits fue fundado en 2019 por Ben Arc como un proyecto libre y de código abierto, y posteriormente incorporó una entidad comercial para apoyar el desarrollo. El software proporciona cuentas multiusuario y un amplio conjunto de extensiones sobre cualquier fuente de financiamiento de Lightning, incluidos LND y Core Lightning. Bitcoin Magazine perfiló el proyecto en septiembre de 2024, describiéndolo como "el WordPress para tu nodo de Bitcoin Lightning" y destacando su amplio uso por individuos, empresas y operadores de nodos que buscan herramientas de Lightning accesibles. Está ampliamente desplegado tanto autoalojado como a través de instancias administradas.

Al momento del anuncio de la v1.7.0, el proyecto no ha publicado un total agregado de fondos perdidos en todas las instancias afectadas, y el informe técnico prometido sobre el exploit aún no ha aparecido, dos aspectos que definirán el panorama completo del incidente. Los operadores que aún no hayan actualizado son dirigidos a la guía oficial antes de volver a poner sus servidores en línea.

Esta nota, LNbits lanza la actualización de seguridad urgente 1.7.0 tras ataques del 8 de noviembre que drenaron fondos, apareció por primera vez en Bitcoin Magazine y fue escrita por Juan Galt.