La plateforme de wallets Bitcoin Lightning LNbits a publié la version 1.7.0, une mise à jour de sécurité urgente lancée à la suite d'un incident de sécurité majeur ayant conduit à des avertissements d'arrêt préventif destinés aux utilisateurs. Selon le projet, cette version constitue un ensemble de sécurité critique traitant les vulnérabilités, l'authentification, le traitement des paiements et la gestion des extensions, et les opérateurs sont invités à agir dans les meilleurs délais. Tous les utilisateurs de LNbits sont invités à passer à la v1.7.0 en urgence.

LNbits est un logiciel libre et open source qui fonctionne au-dessus de backends de nœuds du Lightning Network tels que LND et Core Lightning, assurant la gestion des comptes et des wallets pour les opérateurs et leurs utilisateurs. La plateforme peut être étendue avec des modules plug-in, dont l'extension Paywall qui a figuré dans les événements précédant la mise à jour. Comme chaque instance LNbits gère des wallets pour le compte de plusieurs utilisateurs, une faille dans le logiciel peut se traduire directement par des pertes pour les personnes détenant des soldes sur celle-ci — c'est pourquoi l'appel à la mise à niveau du projet s'adresse à chaque déploiement.

LNbits pousse à une mise à niveau d'urgence après des pertes signalées

La mise à jour fait suite à un avertissement publié par LNbits le 8 novembre, lorsque l'équipe a demandé aux opérateurs de mettre leurs serveurs hors ligne face à des salves d'attaques. Plus tôt dans la journée, l'équipe avait demandé aux utilisateurs de désactiver l'extension Paywall afin de pouvoir examiner une vulnérabilité possible. L'écart d'environ deux jours entre ces avertissements et la version corrigée donne une idée de la rapidité avec laquelle les opérateurs d'infrastructures de wallets exposées au public doivent agir dès qu'une faille est exploitée.

Ben Arc, le créateur de LNbits, a ensuite admis que des pertes avaient été subies tant par les utilisateurs que par le projet, et que les jours précédant la v1.7.0 avaient été particulièrement difficiles.

Le projet a annoncé la version dans une publication sur X le 10 novembre :

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Au moins un opérateur a publiquement signalé la perte d'environ 2,29 millions de satoshis — environ 0,023 BTC — après l'enregistrement d'utilisateurs non autorisés sur une instance LNbits et le retrait des fonds. Le projet n'a pas encore publié de décompte complet des pertes subies par l'ensemble des opérateurs touchés.

La mise à niveau seule pourrait ne pas suffire

LNbits a averti que la mise à niveau seule pourrait ne pas protéger tous les opérateurs. Selon le projet, un opérateur à risque est celui dont les identifiants ont peut-être déjà été compromis, et il existe toujours une possibilité que les clés de wallet, les identifiants de financement ou d'autres secrets restent valides même après l'application du correctif au logiciel de wallet. Les utilisateurs qui estiment que leur instance a été compromise doivent modifier leurs identifiants et peuvent souhaiter reconstruire l'instance sur un nouveau serveur. Cette recommandation reflète une réalité familière aux logiciels financiers open source : la fermeture de la vulnérabilité du code empêche de nouvelles exploitations, mais elle ne neutralise pas à elle seule les secrets qui ont pu déjà être exposés.

Cette distinction est importante car le problème ne réside ni dans Bitcoin ni dans le protocole du Lightning Network, mais dans les déploiements du logiciel LNbits.

La v1.7.0 ajoute la 2FA, BOLT12 et la prise en charge des wallets on-chain

Au-delà des correctifs de sécurité, la v1.7.0 est une version riche en fonctionnalités. Les notes de version sur GitHub détaillent de nouvelles fonctionnalités, notamment l'authentification à deux facteurs TOTP, la prise en charge des wallets on-chain, les paiements d'offres BOLT12, la prise en charge de NIP-17, un planificateur de tâches et des mises à jour automatiques des extensions. Parmi celles-ci, l'authentification à deux facteurs TOTP — un code basé sur le temps exigé en plus du mot de passe — se distingue compte tenu de l'accent mis par cette mise à jour sur l'authentification et l'accès aux comptes. La version contient également de nombreux correctifs pour les notifications de paiement, les backends Lightning, les wallets fiat et les extensions Wasm.

Les correctifs liés aux paiements traitent le traitement en double des tentatives BOLT12, le calcul des frais de Core Lightning et la comptabilisation des frais de service pour les auto-paiements LND. L'annonce couvre également des mises à niveau logicielles, avec le passage de LNbits à Python 3.13 et Pydantic 2, ainsi que des renforcements de sécurité supplémentaires.

Pour les opérateurs, cependant, les nouvelles fonctionnalités ne constituent pas la priorité. LNbits lance un appel à l'action précis, exhortant tous les déploiements actuels à passer à la v1.7.0 avant de reprendre un fonctionnement normal. Les notes de version demeurent la référence définitive pour ce processus, et tout nouveau décompte des pertes publié par le projet sera le chiffre à surveiller tandis que la communauté évalue les conséquences.

Source : CryptoNinjas