LNbits, la plateforme open-source de portefeuilles et de comptes Lightning, a publié la version 1.7.0 le 10 novembre en tant que mise à jour de sécurité urgente et a demandé à chaque opérateur de l'installer avant de remettre ses serveurs en ligne.

Cette consigne faisait suite à des attaques visant des instances LNbits le 8 novembre. Le compte X officiel du projet a présenté la publication comme une « SECURITY UPDATE » dans un post annonçant la version.

Ce qu'est LNbits

LNbits est une application libre et open-source écrite en Python qui fonctionne au-dessus du Lightning Network, le protocole de paiement de couche 2 de Bitcoin. Elle permet aux particuliers, aux entreprises et aux communautés d'auto-héberger des systèmes de portefeuilles et de comptes, avec la prise en charge de plusieurs utilisateurs, la facturation et un framework d'extensions ajoutant des outils tels que des fonctions de point de vente ou de pourboire. La plateforme peut se connecter à plusieurs sources de financement Lightning, notamment LND et Core Lightning.

LNbits étant le plus souvent déployé par des opérateurs auto-hébergés plutôt que via un service d'hébergement central, les instructions de mise à niveau sont généralement transmises directement aux administrateurs de serveurs par les canaux de communication officiels du projet, y compris son compte X. Ce modèle de déploiement façonne également la manière dont un incident de sécurité se déroule : il n'existe aucun fournisseur central pour pousser les correctifs au nom des utilisateurs ; répondre à une publication urgente comme la 1.7.0 relève donc de chaque administrateur individuel — et toute personne détenant un compte sur une instance LNbits dépend en pratique de son opérateur pour donner suite à l'avis de sécurité.

Instructions aux opérateurs

Selon l'annonce, l'installation de la version 1.7.0 doit être achevée avant que tout serveur concerné ne soit remis en ligne. Concrètement, cette publication constitue l'étape de remédiation désignée par le projet à la suite des incidents du 8 novembre, et les instances fonctionnant encore avec des versions antérieures n'ont pas rempli la condition énoncée pour reprendre du service.

L'annonce résumée ici ne comportait pas de détails techniques supplémentaires sur les attaques du 8 novembre, tels que la méthode de compromission ou le nombre d'instances affectées. Toute divulgation ultérieure — qu'il s'agisse de détails techniques, d'avis de sécurité complémentaires ou de recommandations additionnelles — passerait par les canaux de communication officiels du projet, les mêmes canaux par lesquels les opérateurs ont reçu la consigne de mise à niveau, ce qui en fait les sources à surveiller naturellement à mesure que la situation évolue.

Ce contenu a été publié pour la première fois sur COINOTAG : https://en.coinotag.com/lnbits-1-7-0-urgent-security-update-november-8-attacks