LNbits demande à tous les opérateurs de serveurs de fermer après une vague d'attaques

LNbits, la plateforme open source de portefeuille et de comptes Lightning, a demandé à tous les opérateurs d'arrêter immédiatement leurs serveurs le 8 novembre après ce qu'elle a décrit comme « une vague d'attaques », les correctifs de sécurité n'étant pas encore disponibles.

« Tous les utilisateurs de LNbits doivent arrêter leurs serveurs LNbits IMMÉDIATEMENT », a publié le projet sur X à 8 h 56, heure de l'Est, dimanche. « À la suite d'une vague d'attaques, nous avons un certain nombre de correctifs de sécurité à déployer. »

Le projet a ensuite indiqué avoir désactivé toutes les instances de son service d'hébergement géré, my.lnbits.com, par précaution, et que les services reprendraient sous 24 heures.

Le logiciel permet aux opérateurs de créer des portefeuilles et des applications de paiement au-dessus d'une source de financement connectée ; sa documentation liste des backends tels que LND et Core Lightning. L'instruction d'arrêt ne concernait que les serveurs LNbits, et non chaque nœud du Lightning Network. En d'autres termes, l'ordre visait la couche applicative qui s'exécute au-dessus d'un nœud Lightning, et non les backends des nœuds eux-mêmes. Et comme une instance LNbits peut détenir des soldes pour des personnes qui utilisent les applications de portefeuille d'un opérateur sans exploiter elles-mêmes d'infrastructure, une faille à ce niveau peut exposer des fonds appartenant aux utilisateurs finaux, et non uniquement à celui qui a déployé le serveur.

De l'alerte Paywall à l'arrêt complet

L'ordre complet d'arrêt des serveurs faisait suite à une alerte antérieure de LNbits demandant aux opérateurs de désactiver immédiatement l'extension Paywall pendant que les développeurs enquêtaient sur un bug potentiel. L'instruction ultérieure concernait tous les serveurs LNbits, et non seulement les installations utilisant cette extension.

L'avis d'arrêt n'a pas identifié les versions vulnérables, expliqué la voie d'attaque ni indiqué le montant total des pertes. Sans plage de versions à vérifier, les opérateurs ne pouvaient pas déterminer à partir de la seule annonce si leur installation était concernée. L'avis n'a pas non plus exempté de l'instruction de mise hors ligne les serveurs, quelle que soit leur configuration de source de financement.

Un opérateur signale un retrait de fonds de son instance

Dans un témoignage direct sur X, l'opérateur Kevin Ravensberg a déclaré qu'environ 2,29 millions de satoshis — soit environ 0,0229 BTC — avaient été retirés de son instance LNbits par des comptes nouvellement créés avant qu'il ne puisse arrêter le serveur. Il s'est engagé à indemniser intégralement les utilisateurs de BitTipBot, mais a indiqué qu'ils ne pourraient pas accéder à leurs fonds tant que LNbits n'aurait pas corrigé les vulnérabilités.

Son témoignage illustre comment une attaque contre une seule instance peut toucher des personnes qui n'ont jamais exploité le serveur elles-mêmes : dans ce cas, les soldes concernés appartenaient aux utilisateurs d'un service construit sur son déploiement.

Correctifs toujours en attente

Au moment de la publication, la page des versions GitHub du projet listait toujours la v1.6.2, un correctif urgent de sauvegarde PostgreSQL publié le 18 septembre, comme dernière version, et ne listait aucune version traitant les attaques de dimanche.

Le contributeur LNbits Ben Arc a déclaré que les correctifs « devraient être fusionnés et disponibles sous 24 à 48 heures ».

En attendant une telle version, les opérateurs n'ont aucune version corrigée vers laquelle migrer, et l'instruction d'arrêt des serveurs restait en vigueur au moment de la publication. Les indicateurs concrets à surveiller sont la page des versions GitHub pour toute version plus récente que la v1.6.2, le délai annoncé de 24 heures pour la reprise de my.lnbits.com, et le compte X du projet pour un signal de fin d'alerte.