La plateforme de portefeuilles Lightning Bitcoin LNbits a exhorté les utilisateurs à mettre à jour immédiatement vers sa dernière version après avoir signalé une vague d'attaques visant des instances LNbits ayant entraîné le vol de fonds.

Le projet a publié la version 1.7.0 mardi, deux jours après les premiers avertissements publics, la décrivant comme une version critique qui corrige des vulnérabilités et renforce l'authentification, la gestion des extensions et le traitement des paiements. LNbits a toutefois averti qu'une simple mise à jour ne protégerait pas les installations dont les identifiants avaient déjà été compromis.

« Ce sont des jours très difficiles, nous avons travaillé sans relâche pour sortir la version 1.7 après que nos utilisateurs et nous-même avons subi des pertes », a déclaré le créateur de LNbits, Ben Arc, dans une publication sur X également partagée sur Nostr.

LNbits fournit un logiciel pour exécuter des portefeuilles Lightning Bitcoin — construits sur le Lightning Network, la couche de Bitcoin pour les paiements rapides et à faible coût — ainsi que des applications de paiement, notamment des systèmes de paiement marchand, des services de pourboires et des paywalls. LNbits étant conçu pour être exécuté sur les serveurs des opérateurs eux-mêmes, la sécurité de chaque installation dépend de la personne qui la gère. Arc a déclaré en mai qu'environ 200 000 personnes exécutent le logiciel elles-mêmes.

LNbits avait d'abord averti les opérateurs dimanche de désactiver son extension Paywall pendant qu'elle enquêtait sur une vulnérabilité potentielle. Un peu plus d'une heure plus tard, le projet a exhorté les utilisateurs à arrêter immédiatement leurs serveurs LNbits, invoquant une vague d'attaques, et a mis hors ligne ses propres installations hébergées.

Dans une annonce accompagnant le correctif d'urgence, LNbits a indiqué que la vulnérabilité affecte toutes les versions antérieures à la 1.7.0 et expose les fonds à un risque de vol. L'entreprise n'a pas encore détaillé l'exploit ni le nombre d'opérateurs touchés, et a précisé qu'un rapport distinct présentant les détails de l'exploit suivrait. D'ici là, l'ampleur globale des pertes sur les instances auto-hébergées reste non divulguée.

LNbits a également mis en garde : les identifiants exposés avant la mise à niveau pourraient encore donner aux attaquants un accès par la suite. Elle a exhorté les opérateurs à réinitialiser les clés de portefeuille, à remplacer les identifiants des sources de financement et à considérer les secrets stockés dans les paramètres LNbits comme compromis, et a recommandé de migrer vers un nouveau serveur si une compromission est suspectée.

Un utilisateur, Kevin Ravensberg, a déclaré que des attaquants ont exploité son instance LNbits et retiré environ 2,3 millions de satoshis, soit 0,023 Bitcoin, via des comptes nouvellement créés avant qu'il ne puisse arrêter le serveur.

Cointelegraph a contacté Ben Arc et LNbits pour obtenir des commentaires.