LNbits rilascia l'urgente aggiornamento di sicurezza 1.7.0 dopo gli attacchi dell'8 novembre

LNbits, la piattaforma open source di wallet Lightning e gestione account, ha rilasciato la versione 1.7.0 il 10 novembre come aggiornamento di sicurezza urgente, chiedendo a tutti gli operatori di installare la patch prima di rimettere online i propri server. L'account X ufficiale del progetto ha definito il rilascio un "SECURITY UPDATE" e ha indirizzato gli operatori alle note di rilascio su GitHub per l'elenco completo delle modifiche.

Fondato nel 2019 da Ben Arc come progetto libero e open source, LNbits offre account multi-utente e un'ampia suite di estensioni sopra qualsiasi fonte di finanziamento Lightning, inclusi LND e Core Lightning. Viene distribuito sia come installazione self-hosted sia tramite istanze gestite.

Gli attacchi sono iniziati l'8 novembre

La cronologia dell'incidente ha avuto inizio nel weekend. L'8 novembre il progetto ha pubblicamente chiesto agli utenti di arrestare immediatamente i propri server, dichiarando di preferire agire per prudenza mentre venivano preparate le patch di sicurezza. LNbits ha inoltre disattivato ogni istanza sul proprio servizio ospitato.

Le segnalazioni degli operatori descrivevano la creazione di account non autorizzati seguita da prelievi dai saldi degli utenti. Kevin Ravensberg, che gestisce il servizio di mance su Telegram BitTipBot, ha riferito che gli attaccanti hanno aperto nuovi account sulla sua istanza e prelevato 2.285.545 satoshi — circa 0,0229 Bitcoin (BTC) — tra le 09:22 e le 14:00 UTC circa dell'8 novembre.

Secondo le linee guida ufficiali di aggiornamento pubblicate insieme al rilascio, tutte le versioni precedenti alla 1.7.0 sono interessate e i fondi gestiti su build precedenti sono a rischio di furto. Il team ha confermato che la 1.7.0 contiene correzioni in risposta all'incidente scoperto l'8 novembre e ha dichiarato che seguirà un rapporto tecnico completo sull'exploit. L'annuncio non nomina la vulnerabilità e non è stato pubblicato alcun totale aggregato delle perdite tra le istanze colpite.

Rotazione delle chiavi e ricostruzione dei server compromessi

Installare la patch e ripristinare un sistema compromesso sono compiti distinti. LNbits ha avvertito che l'aggiornamento non revoca automaticamente eventuali accessi già ottenuti da un attaccante: un server aggiornato può quindi restare non sicuro se è stato toccato durante la finestra dell'attacco. Le linee guida chiedono agli operatori che sospettano una violazione di preservare prima i log e i registri, quindi di mettere in servizio un nuovo server con la 1.7.0 anziché fidarsi della vecchia macchina. Conservare tali registri è importante per le successive analisi forensi, dato che il rapporto tecnico promesso si baserà sulle prove del percorso d'attacco.

Dal nuovo server, il Super Admin deve ruotare la chiave privata di ogni wallet utente, invalidando così la chiave precedente, e ogni app connessa deve essere aggiornata con la nuova chiave. Le credenziali delle fonti di finanziamento, come chiavi API o macaroon, devono essere revocate e riemesse alla fonte, e anche gli altri segreti memorizzati nelle impostazioni del server vanno ruotati. Le connessioni delle estensioni esistenti — tra cui NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA — devono essere smontate e ricostruite con le nuove credenziali.

Cosa cambia nella versione 1.7.0

Le note di rilascio descrivono un rafforzamento di autenticazione, gestione delle estensioni e gestione dei pagamenti, oltre ad aggiornamenti delle dipendenze, anche se la modifica specifica che chiude il percorso d'attacco non è stata ancora resa pubblica. La versione 1.7.0 introduce anche nuove funzionalità: supporto ai wallet on-chain, pagamenti con offerte BOLT12, autenticazione a due fattori TOTP, supporto NIP-17, uno scheduler di job, aggiornamenti automatici delle estensioni e supporto alle hold invoice per la fonte di finanziamento LNbits.

Il registro degli incidenti di SlowMist riporta la stessa cifra di 2.285.545 satoshi come caso di perdita su singola istanza, e l'annuncio non avanza alcuna ipotesi di compromissione della rete Bitcoin o del protocollo Lightning stesso. I danni confermati finora riguardano i server degli operatori, non il livello del protocollo.

Secondo COINOTAG, la causa principale non divulgata è l'aspetto più critico di questa vicenda. LNbits funziona per progetto come hot wallet, e le linee guida ufficiali chiedono agli operatori di mantenere online solo i saldi operativi, spostando l'eccedenza su chiavi offline. Finché il rapporto tecnico promesso non identificherà il percorso d'attacco, ogni istanza non patchata o appena aggiornata va trattata come potenziale bersaglio — è il motivo per cui la patch è accompagnata da una procedura completa di rotazione delle credenziali.

Il rapporto originale è stato pubblicato da COINOTAG.