LNbits déploie la mise à jour de sécurité urgente 1.7.0 après les attaques du 8 novembre

LNbits, la plateforme open source de portefeuille et de comptes Lightning, a publié le 10 novembre la version 1.7.0 en tant que mise à jour de sécurité urgente, demandant à tous les opérateurs d'installer le correctif avant de remettre leurs serveurs en ligne. Le compte X officiel du projet a décrit cette version comme une « SECURITY UPDATE » et a orienté les opérateurs vers les notes de version GitHub pour la liste complète des changements.

Fondé en 2019 par Ben Arc en tant que projet libre et open source, LNbits propose des comptes multi-utilisateurs et une vaste suite d'extensions s'appuyant sur n'importe quelle source de financement Lightning, notamment LND et Core Lightning. Il est déployé à la fois en auto-hébergement et via des instances gérées.

Les attaques ont commencé le 8 novembre

La chronologie de l'incident a débuté durant le week-end. Le 8 novembre, le projet a publiquement demandé aux utilisateurs d'arrêter immédiatement leurs serveurs, indiquant préférer faire preuve de prudence pendant la préparation des correctifs de sécurité. LNbits a également désactivé toutes les instances de son propre service hébergé.

Les rapports d'opérateurs décrivaient la création de comptes non autorisés suivie de retraits sur les soldes des utilisateurs. Kevin Ravensberg, qui exploite le service de pourboires Telegram BitTipBot, a signalé que des attaquants avaient ouvert de nouveaux comptes sur son instance et retiré 2 285 545 satoshis — soit environ 0,0229 Bitcoin (BTC) — entre environ 09h22 et 14h00 UTC le 8 novembre.

Selon les recommandations officielles de mise à niveau publiées avec la version, toutes les versions antérieures à la 1.7.0 sont concernées, et les fonds fonctionnant sur des versions antérieures risquent d'être volés. L'équipe a confirmé que la 1.7.0 contient des correctifs répondant à l'incident découvert le 8 novembre et a indiqué qu'un rapport technique complet sur l'exploit suivra. L'annonce ne nomme pas la vulnérabilité, et aucun total agrégé des pertes sur les instances touchées n'a été publié.

Rotation des clés et reconstruction des serveurs compromis

Installer le correctif et se remettre d'une compromission sont deux tâches distinctes. LNbits a averti que la mise à jour ne révoque pas automatiquement l'accès qu'un attaquant aurait déjà pu obtenir, ce qui signifie qu'un serveur mis à niveau peut rester dangereux s'il a été touché pendant la fenêtre d'attaque. Les recommandations demandent aux opérateurs soupçonnant une intrusion de préserver d'abord les journaux et les enregistrements, puis de déployer un serveur neuf exécutant la 1.7.0 plutôt que de se fier à l'ancienne machine. Conserver ces enregistrements est important pour les analyses forensiques ultérieures, car le rapport technique promis s'appuiera sur les preuves du chemin d'attaque.

Depuis le nouveau serveur, le Super Admin doit faire tourner la clé privée de chaque portefeuille utilisateur, ce qui invalide l'ancienne clé, et chaque application connectée doit être mise à jour avec la clé de remplacement. Les informations d'identification des sources de financement, telles que les clés API ou les macaroons, doivent être révoquées et réémises à la source, et les autres secrets stockés dans les paramètres du serveur doivent également être renouvelés. Les connexions d'extensions existantes — notamment NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA — doivent être démantelées et reconstruites avec les nouvelles informations d'identification.

Ce que change la version 1.7.0

Les notes de version décrivent un durcissement de l'authentification, de la gestion des extensions et du traitement des paiements, ainsi que des mises à jour de dépendances, mais le changement spécifique qui ferme le chemin d'attaque n'a pas encore été rendu public. La version 1.7.0 introduit également de nouvelles fonctionnalités : prise en charge du portefeuille on-chain, paiements d'offres BOLT12, authentification à deux facteurs TOTP, prise en charge de NIP-17, un ordonnanceur de tâches, mises à jour automatiques des extensions et prise en charge des factures en attente (hold invoice) pour la source de financement LNbits.

Le journal d'incidents de SlowMite liste le même chiffre de 2 285 545 satoshis comme cas de perte sur une seule instance, et l'annonce ne fait état d'aucune compromission du réseau Bitcoin ou du protocole Lightning lui-même. Les dommages confirmés à ce jour concernent les serveurs des opérateurs, et non la couche protocole.

Selon COINOTAG, la cause racine non divulguée constitue l'aspect le plus préoccupant de cette affaire. LNbits fonctionne par conception comme un hot wallet, et les recommandations officielles indiquent aux opérateurs de ne garder en ligne que les soldes opérationnels tout en transférant l'excédent vers des clés hors ligne. Jusqu'à ce que le rapport technique promis identifie le chemin d'attaque, chaque instance non corrigée ou récemment mise à niveau doit être considérée comme une cible potentielle — c'est la raison pour laquelle le correctif s'accompagne d'une procédure complète de rotation des informations d'identification.

Le rapport original a été publié par COINOTAG.