La plataforma de billeteras Bitcoin Lightning LNbits lanzó la versión 1.7.0, una actualización de seguridad urgente emitida tras un importante incidente de seguridad que llevó a avisos preventivos de apagado para los usuarios. Según el proyecto, la versión es un paquete de seguridad crítico que aborda vulnerabilidades, autenticación, procesamiento de pagos y gestión de extensiones, y se insta a los operadores a actuar lo antes posible. Se recomienda a todos los usuarios de LNbits actualizar a la v1.7.0 con carácter urgente.

LNbits es software libre y de código abierto que funciona sobre backends de nodos de la Lightning Network como LND y Core Lightning, y proporciona gestión de cuentas y billeteras para operadores y sus usuarios. La plataforma puede ampliarse con módulos complementarios, incluida la extensión Paywall que estuvo involucrada en los eventos previos a la actualización. Dado que cada instancia de LNbits gestiona billeteras en nombre de múltiples usuarios, una falla en el software puede traducirse directamente en pérdidas para las personas que mantienen saldos en ella, razón por la cual el llamado a actualizar del proyecto está dirigido a todas las instalaciones.

LNbits impulsa una actualización de emergencia tras pérdidas reportadas

La actualización sigue a una advertencia emitida por LNbits el 8 de noviembre, cuando el equipo pidió a los operadores desconectar sus servidores ante ráfagas de ataques. Ese mismo día, el equipo había solicitado a los usuarios apagar la extensión Paywall para poder investigar una posible vulnerabilidad. El intervalo de aproximadamente dos días entre esas advertencias y la versión corregida da una idea de la rapidez con la que los operadores de infraestructura de billeteras públicas deben actuar cuando una falla está siendo atacada.

Ben Arc, creador de LNbits, admitió posteriormente que tanto los usuarios como el proyecto habían sufrido pérdidas, y que los días previos a la v1.7.0 fueron especialmente difíciles.

El proyecto anunció la versión en una publicación en X el 10 de noviembre:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Al menos un operador reportó públicamente la pérdida de aproximadamente 2.29 millones de satoshis, alrededor de 0.023 BTC, después de que usuarios no autorizados se registraran en una instancia de LNbits y retiraran fondos. El proyecto aún no ha publicado un conteo completo de las pérdidas sufridas por todos los operadores afectados.

Actualizar por sí solo podría no ser suficiente

LNbits advirtió que actualizar por sí solo podría no proteger a todos los operadores. Según el proyecto, un operador en riesgo es aquel cuyas credenciales podrían ya estar comprometidas, y siempre existe la posibilidad de que las claves de la billetera, las credenciales de financiamiento u otros secretos sigan siendo válidos incluso después de aplicar el parche al software de la billetera. Los usuarios que crean que su instancia fue comprometida deben cambiar sus credenciales y quizás quieran reconstruir la instancia en un nuevo servidor. La recomendación refleja una realidad conocida del software financiero de código abierto: cerrar la vulnerabilidad del código detiene nuevas explotaciones, pero no neutraliza por sí mismo secretos que ya pudieron haber sido expuestos.

La distinción es significativa porque el problema no radica en Bitcoin ni en el protocolo de Lightning Network, sino en las instalaciones del software LNbits.

v1.7.0 añade 2FA, BOLT12 y soporte de billetera on-chain

Más allá de las correcciones de seguridad, la v1.7.0 es una versión con funciones sustanciales. Las notas de la versión en GitHub detallan nuevas funciones, incluida la autenticación de dos factores TOTP, soporte de billetera on-chain, pagos con ofertas BOLT12, soporte de NIP-17, un programador de tareas y actualizaciones automáticas de extensiones. De estas, la autenticación de dos factores TOTP —un código basado en tiempo requerido junto con la contraseña— destaca dada la atención de la actualización en la autenticación y el acceso a cuentas. La versión también incluye numerosas correcciones para notificaciones de pagos, backends de Lightning, billeteras fiat y Wasm Extensions.

Las correcciones relacionadas con pagos abordan el procesamiento duplicado de reintentos de BOLT12, el cálculo de comisiones de Core Lightning y la contabilización de comisiones de servicio en autopagos de LND. El anuncio también cubre actualizaciones de software, trasladando LNbits a Python 3.13 y Pydantic 2, junto con mejoras de seguridad adicionales.

Para los operadores, sin embargo, las nuevas funciones no son la prioridad principal. LNbits hace un llamado específico a la acción, instando a todas las instalaciones actuales a actualizar a la v1.7.0 antes de reanudar la operación normal. Las notas de la versión siguen siendo la referencia definitiva para ese proceso, y cualquier conteo adicional de pérdidas por parte del proyecto será la cifra a seguir mientras la comunidad evalúa las consecuencias.

Fuente: CryptoNinjas