LNbits, une plateforme d'exécution de portefeuilles Bitcoin Lightning et d'applications de paiement, a exhorté les utilisateurs à passer immédiatement à sa dernière version après qu'une vague d'attaques visant des instances LNbits a entraîné des fonds volés.

Le projet a publié la version 1.7.0 mardi, la décrivant comme une version critique qui corrige des vulnérabilités et renforce l'authentification, la gestion des extensions et le traitement des paiements. LNbits a toutefois averti que la seule mise à jour ne protégera pas les installations dont les identifiants ont déjà été compromis.

« Cela a été des jours très difficiles, à travailler sans relâche pour sortir la version 1.7 après que nos utilisateurs et nous-même avons subi des pertes », a déclaré le créateur de LNbits, Ben Arc, sur X.

Ce que fait LNbits

LNbits fournit un logiciel pour faire fonctionner des portefeuilles Bitcoin Lightning et des applications de paiement, notamment des systèmes de paiement marchand, des services de pourboires et des paywalls. Arc a déclaré en mai qu'environ 200 000 personnes font tourner le logiciel eux-mêmes. Ce chiffre désigne des opérateurs exécutant le logiciel sur leur propre infrastructure, ce qui fait de la mise à jour et de la rotation des identifiants une tâche propre à chaque instance — et explique pourquoi la version est accompagnée de consignes explicites de nettoyage pour les installations existantes.

Le déroulement de l'incident

LNbits a d'abord exhorté les opérateurs dimanche à désactiver son extension Paywall pendant qu'elle enquêtait sur une vulnérabilité potentielle. Un peu plus d'une heure plus tard, le projet a demandé aux utilisateurs d'arrêter immédiatement leurs serveurs LNbits, invoquant une vague d'attaques, et a également mis hors ligne ses propres installations hébergées.

Dans une annonce accompagnant le correctif d'urgence, arrivé deux jours après cette première alerte, LNbits a indiqué que la vulnérabilité affecte toutes les versions antérieures à la 1.7.0 et expose les fonds à un risque de vol — ce qui signifie que tout déploiement encore sur une version antérieure reste exposé jusqu'à sa mise à jour. Le projet n'a pas encore détaillé l'exploit ni le nombre d'opérateurs affectés.

Mesures pour les opérateurs

LNbits a averti que des identifiants exposés avant la mise à jour pouvaient encore donner aux attaquants un accès par la suite. Elle a exhorté les opérateurs à réinitialiser les clés de portefeuille, à remplacer les identifiants des sources de financement et à considérer les secrets stockés dans les paramètres LNbits comme compromis, et a recommandé de migrer vers un serveur neuf si une compromission est suspectée.

Un utilisateur, Kevin Ravensberg, a déclaré que des attaquants avaient exploité son instance LNbits, retirant environ 2,3 millions de satoshis, soit 0,023 Bitcoin, via des comptes nouvellement créés avant qu'il ne puisse arrêter le serveur.

LNbits a indiqué qu'un rapport distinct détaillant l'exploit suivrait. Cointelegraph a contacté Ben Arc et LNbits pour obtenir des commentaires (rapport original).