LNbits, la piattaforma open-source per wallet e account sulla Lightning Network, ha rilasciato la versione 1.7.0 il 10 novembre come aggiornamento di sicurezza urgente, chiedendo a tutti gli operatori di effettuare l'aggiornamento prima di riavviare i propri server. L'account X ufficiale del progetto ha annunciato il rilascio con un collegamento alla release su GitHub, etichettandolo come "SECURITY UPDATE".

La patch risponde a un'ondata di attacchi iniziata nel fine settimana. L'8 novembre, LNbits ha pubblicato su X che tutti gli utenti avrebbero dovuto spegnere immediatamente i propri server LNbits dopo la segnalazione di attacchi in corso, aggiungendo che le patch di sicurezza erano in fase di preparazione e che era "meglio peccare di prudenza". Il progetto ha inoltre disattivato le istanze sul proprio servizio ospitato.

Diverse segnalazioni hanno documentato la creazione non autorizzata di account e prelievi di fondi. Kevin Ravensberg, operatore del servizio di mance su Telegram BitTipBot, ha dichiarato pubblicamente che gli attaccanti hanno creato nuovi account sulla sua istanza e prelevato 2.285.545 satoshi (circa 0,0229 BTC) tra le 09:22 e le 14:00 UTC circa dell'8 novembre.

Secondo le linee guida ufficiali per l'aggiornamento pubblicate insieme al rilascio, tutte le versioni precedenti alla 1.7.0 sono interessate, e "i fondi gestiti su versioni precedenti di LNbits rischiano di essere rubati". Il progetto ha dichiarato che la 1.7.0 contiene correzioni di sicurezza relative all'incidente scoperto l'8 novembre e che seguirà un report tecnico completo sull'exploit. Poiché LNbits fornisce account multi-utente ed estensioni su una singola fonte di finanziamento, l'importanza dell'aggiornamento va oltre i singoli operatori fino agli utenti delle istanze non aggiornate, sia self-hosted che gestite, i cui saldi dipendono dal software su cui si basano.

Gli operatori che sospettano un compromissione sono invitati a configurare un nuovo server, poiché il solo aggiornamento non può revocare l'accesso che un attaccante potrebbe aver già ottenuto. Ulteriori misure di recupero includono la rotazione di tutte le chiavi dei wallet degli utenti come Super Admin, la sostituzione delle credenziali della fonte di finanziamento (chiavi API o macaroons), la rotazione degli altri segreti memorizzati nelle impostazioni e la revisione o la ricreazione delle connessioni per estensioni come NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA.

Le note di rilascio su GitHub descrivono un ampio rafforzamento della sicurezza su autenticazione, gestione delle estensioni e gestione dei pagamenti, oltre ad aggiornamenti delle dipendenze. La versione introduce anche nuove funzionalità, tra cui il supporto ai wallet on-chain, i pagamenti con offerte BOLT12, l'autenticazione a due fattori TOTP, il supporto NIP-17, uno scheduler di job, gli aggiornamenti automatici delle estensioni e il supporto alle hold invoice per la fonte di finanziamento LNbits.

Il progetto ricorda agli operatori che LNbits funziona come un hot wallet: solo i saldi operativi dovrebbero essere mantenuti online, l'attività dovrebbe essere revisionata regolarmente e i fondi in eccesso dovrebbero essere spostati su chiavi offline — una pratica operativa standard per qualsiasi servizio Lightning che detiene fondi online.

LNbits è stato fondato nel 2019 da Ben Arc come progetto libero e open-source e in seguito ha costituito un'entità commerciale per sostenere lo sviluppo. Il software fornisce account multi-utente e un ampio set di estensioni sopra qualsiasi fonte di finanziamento Lightning, incluse LND e Core Lightning. Bitcoin Magazine ha dedicato un profilo al progetto a settembre 2024, descrivendolo come "il WordPress per il tuo nodo Bitcoin Lightning" e sottolineando il suo uso diffuso da parte di individui, aziende e operatori di nodi in cerca di strumenti Lightning accessibili. È ampiamente utilizzato sia in modalità self-hosted che tramite istanze gestite.

Al momento dell'annuncio della v1.7.0, il progetto non ha pubblicato un totale aggregato dei fondi persi in tutte le istanze interessate, e il promesso report tecnico sull'exploit non è ancora apparso — due elementi che contribuiranno a delineare il quadro completo dell'incidente. Gli operatori che non hanno ancora effettuato l'aggiornamento sono rimandati alle linee guida ufficiali prima di rimettere online i propri server.

Questo post, LNbits Rilascia l'Urgente Aggiornamento di Sicurezza 1.7.0 Dopo gli Attacchi dell'8 Novembre che Hanno Prosciugato Fondi, è apparso per la prima volta su Bitcoin Magazine ed è stato scritto da Juan Galt.