LNbits, la plateforme open source de wallet et de comptes pour le Lightning Network, a publié la version 1.7.0 le 10 novembre en tant que mise à jour de sécurité urgente, demandant à tous les opérateurs d'effectuer la mise à niveau avant de redémarrer leurs serveurs. Le compte X officiel du projet a annoncé la publication avec un lien vers la version GitHub, la qualifiant de « SECURITY UPDATE » (mise à jour de sécurité).

Le correctif répond à une vague d'attaques ayant commencé durant le week-end. Le 8 novembre, LNbits a publié sur X que tous les utilisateurs devaient arrêter immédiatement leurs serveurs LNbits après avoir signalé des attaques en cours, ajoutant que des correctifs de sécurité étaient en préparation et qu'il valait mieux « pêcher par excès de prudence ». Le projet a également désactivé les instances de son service hébergé.

Plusieurs rapports ont documenté des créations de comptes non autorisées et des retraits de fonds. Kevin Ravensberg, opérateur du service de pourboires Telegram BitTipBot, a publiquement déclaré que des attaquants avaient créé de nouveaux comptes sur son instance et retiré 2 285 545 satoshis (environ 0,0229 BTC) entre environ 09h22 et 14h00 UTC le 8 novembre.

Selon les instructions officielles de mise à niveau publiées avec la version, toutes les versions antérieures à 1.7.0 sont concernées, et « les fonds fonctionnant sur des versions antérieures de LNbits risquent d'être volés ». Le projet a indiqué que la 1.7.0 contient des correctifs de sécurité répondant à l'incident découvert le 8 novembre et qu'un rapport technique complet sur l'exploit suivra. Étant donné que LNbits fournit des comptes multi-utilisateurs et des extensions sur une source de financement unique, l'importance de cette mise à jour dépasse le cadre des opérateurs individuels pour concerner les utilisateurs des instances non corrigées, qu'elles soient auto-hébergées ou gérées, dont les soldes dépendent du logiciel sous-jacent.

Les opérateurs suspectant une compromission sont invités à déployer un nouveau serveur, car la simple mise à jour ne peut pas supprimer un accès qu'un attaquant aurait déjà obtenu. Les étapes de récupération supplémentaires comprennent la rotation de toutes les clés de wallet des utilisateurs en tant que Super Admin, le remplacement des identifiants de la source de financement (clés API ou macaroons), la rotation des autres secrets stockés dans les paramètres, et la révision ou la recréation des connexions pour les extensions telles que NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.

Les notes de version GitHub décrivent un durcissement de sécurité étendu touchant l'authentification, la gestion des extensions et le traitement des paiements, ainsi que des mises à jour de dépendances. La version inclut également de nouvelles fonctionnalités, notamment le support des wallets on-chain, les paiements d'offres BOLT12, l'authentification à deux facteurs TOTP, le support NIP-17, un planificateur de tâches, les mises à jour automatiques des extensions et le support des factures de conservation (hold invoices) pour la source de financement LNbits.

Le projet rappelle aux opérateurs que LNbits fonctionne comme un hot wallet : seuls les soldes opérationnels doivent être conservés en ligne, l'activité doit être régulièrement examinée, et les fonds excédentaires doivent être déplacés vers des clés hors ligne — une pratique opérationnelle standard pour tout service Lightning détenant des fonds en ligne.

LNbits a été fondé en 2019 par Ben Arc en tant que projet libre et open source, et a ensuite intégré une entité commerciale pour soutenir son développement. Le logiciel fournit des comptes multi-utilisateurs et une vaste suite d'extensions sur n'importe quelle source de financement Lightning, y compris LND et Core Lightning. Bitcoin Magazine a présenté le projet en septembre 2024, le décrivant comme « le WordPress de votre nœud Bitcoin Lightning » et soulignant son utilisation répandue par les particuliers, les entreprises et les opérateurs de nœuds en quête d'outils Lightning accessibles. Il est largement déployé, à la fois en auto-hébergement et via des instances gérées.

Au moment de l'annonce de la v1.7.0, le projet n'a pas publié de total global des fonds perdus sur l'ensemble des instances concernées, et le rapport technique promis sur l'exploit n'est pas encore paru — deux éléments qui détermineront l'image complète de l'incident. Les opérateurs n'ayant pas encore effectué la mise à niveau sont invités à consulter les instructions officielles avant de remettre leurs serveurs en ligne.

Cet article, LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds, est apparu pour la première fois sur Bitcoin Magazine et a été écrit par Juan Galt.