La plataforma de billeteras Lightning de Bitcoin, LNbits, ha instado a los usuarios a actualizar de inmediato a su última versión tras reportar una ola de ataques contra instancias de LNbits que resultó en fondos robados.

El proyecto publicó la versión 1.7.0 el martes, dos días después de las primeras advertencias públicas, describiéndola como una versión crítica que corrige vulnerabilidades y refuerza la autenticación, la gestión de extensiones y el manejo de pagos. Sin embargo, LNbits advirtió que actualizar por sí solo no protegería las instalaciones cuyas credenciales ya hubieran sido comprometidas.

"Han sido unos días muy difíciles, trabajando sin descanso para sacar la versión v1.7 después de que nuestros usuarios y nosotros sufrimos pérdidas", dijo el creador de LNbits, Ben Arc, en una publicación en X que también fue compartida en Nostr.

LNbits ofrece software para ejecutar billeteras Lightning de Bitcoin —construidas sobre la Lightning Network, la capa de Bitcoin para pagos rápidos y de bajo costo— así como aplicaciones de pago, incluyendo checkouts para comerciantes, servicios de propinas y muros de pago. Dado que LNbits está diseñado para ejecutarse en los servidores propios de los operadores, la seguridad de cada instalación depende de la persona que la administre. Arc dijo en mayo que unas 200.000 personas ejecutan el software por sí mismas.

LNbits advirtió por primera vez a los operadores el domingo que desactivaran su extensión Paywall mientras investigaba una posible vulnerabilidad. Poco más de una hora después, el proyecto instó a los usuarios a apagar de inmediato sus servidores de LNbits, citando una ola de ataques, y puso fuera de línea sus propias instalaciones alojadas.

En un anuncio que acompañó al parche de emergencia, LNbits dijo que la vulnerabilidad afecta a todas las versiones anteriores a la 1.7.0 y pone los fondos en riesgo de robo. La empresa aún no ha detallado el exploit ni cuántos operadores fueron afectados, y señaló que un informe separado que detallará el exploit se publicará próximamente. Hasta que llegue ese informe, la escala general de las pérdidas en las instancias autoadministradas sigue sin revelarse.

LNbits también advirtió que las credenciales expuestas antes de la actualización aún podrían dar acceso a los atacantes después. Instó a los operadores a restablecer las claves de las billeteras, reemplazar las credenciales de las fuentes de financiamiento y tratar como comprometidos los secretos almacenados en la configuración de LNbits, y recomendó migrar a un servidor nuevo si se sospecha de un compromiso.

Un usuario, Kevin Ravensberg, dijo que los atacantes explotaron su instancia de LNbits y retiraron alrededor de 2,3 millones de satoshis, o 0,023 Bitcoin, a través de cuentas recién creadas antes de que pudiera apagar el servidor.

Cointelegraph se puso en contacto con Ben Arc y LNbits para hacer comentarios.