La plateforme de portefeuilles Bitcoin Lightning LNbits a publié une mise à jour de sécurité d'urgence après une série d'attaques ayant apparemment entraîné le vol de fonds. Le projet a exhorté les opérateurs à procéder immédiatement à la mise à niveau, avertissant que les versions plus anciennes du logiciel laissent les portefeuilles Bitcoin exposés à un vol potentiel.

La version 1.7.0, publiée le 10 novembre, apporte des correctifs pour des vulnérabilités critiques ainsi que des protections de sécurité renforcées. Néanmoins, les développeurs ont averti que l'installation de la mise à jour seule pourrait ne pas sécuriser les systèmes où des attaquants ont déjà obtenu des identifiants sensibles.

LNbits alerte les opérateurs face aux attaques en cours

LNbits développe un logiciel permettant aux entreprises et aux particuliers d'exploiter des portefeuilles Bitcoin Lightning et des applications de paiement, prenant en charge des cas d'usage tels que les paiements marchands, les plateformes de pourboires, les systèmes d'abonnement et les paywalls numériques.

L'incident a été révélé le 8 novembre, lorsque LNbits a averti les opérateurs d'une possible vulnérabilité concernant son extension Paywall. Alors que les attaques se poursuivaient, le projet a ensuite lancé un appel urgent aux utilisateurs pour qu'ils éteignent leurs serveurs sans délai. Les installations hébergées ont également été suspendues temporairement afin de limiter l'exposition potentielle.

Ben Arc, le créateur du projet, a par la suite reconnu que des utilisateurs et des développeurs avaient subi des pertes financières pendant l'incident. Selon les consignes de sécurité de LNbits, toutes les versions publiées avant la 1.7.0 sont vulnérables. Les développeurs n'ont pas révélé le mécanisme d'attaque exact, et l'ampleur totale des dommages financiers reste à confirmer.

Un vol de Bitcoin signalé attire l'attention

Kevin Ravensberg, un opérateur touché par l'incident, a signalé la perte d'environ 2,3 millions de satoshis, l'équivalent d'environ 0,023 BTC. Il a indiqué que des attaquants avaient créé des comptes non autorisés et retiré des fonds avant qu'il ne puisse éteindre son serveur.

Cette perte signalée met en évidence les risques de sécurité associés aux infrastructures de paiement en crypto-monnaies auto-hébergées, où les opérateurs — et non un fournisseur central — sont responsables de la sécurité des serveurs, de la gestion des clés et de la gestion des identifiants. Bien que les transactions sur le Lightning Network permettent des paiements Bitcoin rapides, un logiciel de portefeuille compromis peut exposer les fonds à des retraits non autorisés.

Le correctif seul ne suffit pas, avertissent les opérateurs

Le dernier correctif de sécurité de LNbits renforce l'authentification, la gestion des extensions et le traitement des paiements. La version 1.7.0 introduit également des protections supplémentaires, notamment l'authentification à deux facteurs et des fonctionnalités améliorées de gestion des portefeuilles.

Néanmoins, LNbits a averti que les identifiants précédemment exposés pouvaient rester utilisables même après l'installation. Contrairement aux failles logicielles, qu'une mise à jour corrige, les identifiants volés n'expirent pas lors de la mise à niveau d'un serveur. Les opérateurs doivent donc réinitialiser les clés de portefeuille, remplacer les identifiants des sources de financement et révoquer toute autorisation d'accès susceptible d'avoir été compromise. Le projet recommande également de remplacer les informations sensibles stockées dans les paramètres de l'application.

Les opérateurs qui soupçonnent que leurs serveurs ont été compromis devraient envisager de déployer des installations entièrement nouvelles plutôt que de se fier exclusivement à la mise à jour logicielle.

LNbits prévoit de publier un rapport technique détaillé expliquant la vulnérabilité et les attaques. D'ici là, l'ampleur totale des pertes reste incertaine, laissant les opérateurs concentrés sur la sécurisation de leurs systèmes de paiement Bitcoin Lightning. Le rapport promis — ainsi que toute annonce sur le retour en ligne des installations hébergées suspendues du projet — constitue la prochaine évolution à surveiller.