LNbits pide a todos los operadores de servidores que apaguen sus servidores tras una ola de ataques

LNbits, la plataforma de código abierto de billeteras y cuentas para Lightning, pidió a todos los operadores que detuvieran sus servidores de inmediato el 8 de noviembre, tras lo que describió como "una ola de ataques", con los parches de seguridad aún pendientes.

"Todos los usuarios de LNbits deben detener sus servidores de LNbits INMEDIATAMENTE", publicó el proyecto en X a las 8:56 a.m. ET del domingo. "Tras una ola de ataques, tenemos varios parches de seguridad por publicar".

El proyecto informó posteriormente que había desactivado todas las instancias de su servicio de hosting administrado, my.lnbits.com, como precaución, y que los servicios se reanudarían en un plazo de 24 horas.

El software permite a los operadores crear billeteras y aplicaciones de pago sobre una fuente de fondos conectada, y su documentación incluye backends como LND y Core Lightning. La instrucción de apagado estaba dirigida únicamente a los servidores de LNbits, no a todos los nodos de la Lightning Network. En otras palabras, la orden apuntaba a la capa de aplicación que se ejecuta sobre un nodo de Lightning, no a los backends de los nodos en sí. Y como una instancia de LNbits puede mantener saldos de personas que usan las aplicaciones de billetera de un operador sin ejecutar ninguna infraestructura propia, una falla en esta capa puede exponer fondos de usuarios finales, y no solo de quien desplegó el servidor.

De la advertencia sobre Paywall al apagado total

La orden total de apagar los servidores siguió a una advertencia previa de LNbits que pedía a los operadores desactivar de inmediato la extensión Paywall mientras los desarrolladores investigaban un posible error. La instrucción posterior abarcó todos los servidores de LNbits, no solo las instalaciones que usaban esa extensión.

El aviso de apagado no identificó las versiones vulnerables, ni explicó la ruta del ataque, ni indicó un monto total de pérdidas. Sin un rango de versiones contra el cual verificar, los operadores no podían determinar solo con el anuncio si su propia instalación estaba afectada. El aviso tampoco eximió ninguna configuración de fuente de fondos de la instrucción de desconectar los servidores.

Un operador reporta retiros de su instancia

En un relato de primera mano en X, el operador Kevin Ravensberg dijo que aproximadamente 2.29 millones de satoshis —unos 0.0229 BTC— fueron retirados de su instancia de LNbits por cuentas recién creadas antes de que pudiera detener el servidor. Se comprometió a compensar a los usuarios de BitTipBot, pero dijo que no podrán acceder a los fondos hasta que LNbits corrija las vulnerabilidades.

Su relato ilustra cómo un ataque a una sola instancia puede alcanzar a personas que nunca operaron el servidor themselves: los saldos afectados en este caso pertenecían a usuarios de un servicio construido sobre su despliegue.

Parches aún pendientes

Al momento de la publicación, la página de lanzamientos de GitHub del proyecto seguía listando v1.6.2, una corrección urgente de respaldo de PostgreSQL publicada el 18 de septiembre, como su lanzamiento más reciente, y no mostraba ningún lanzamiento que abordara los ataques del domingo.

El colaborador de LNbits Ben Arc dijo que los parches "deberían fusionarse y estar disponibles en 24-48 horas".

Hasta que aparezca dicho lanzamiento, los operadores no tienen una versión corregida a la cual actualizar, y la instrucción de apagar los servidores seguía vigente al momento de la publicación. Los indicadores concretos a observar son la página de lanzamientos de GitHub por cualquier versión más reciente que v1.6.2, la ventana de reanudación declarada de 24 horas para my.lnbits.com y la cuenta de X del proyecto para una confirmación oficial actualizada.