LNbits, piattaforma di wallet Bitcoin Lightning, ha esortato gli utenti ad aggiornare immediatamente all'ultima versione dopo aver segnalato un'ondata di attacchi contro istanze LNbits che ha portato al furto di fondi.

Il progetto ha pubblicato la versione 1.7.0 martedì, due giorni dopo i primi avvisi pubblici, descrivendola come una release critica che corregge vulnerabilità e rafforza autenticazione, gestione delle estensioni e gestione dei pagamenti. LNbits ha tuttavia avvertito che l'aggiornamento da solo non avrebbe protetto le installazioni le cui credenziali erano già state compromesse.

"Sono stati giorni molto difficili, lavorando instancabilmente per pubblicare la release v1.7 dopo che i nostri utenti e noi abbiamo subito perdite", ha dichiarato il creatore di LNbits Ben Arc in un post su X, condiviso anche su Nostr.

LNbits fornisce software per l'esecuzione di wallet Bitcoin Lightning — basati sulla Lightning Network, il livello di Bitcoin per pagamenti rapidi e a basso costo — oltre ad applicazioni di pagamento, tra cui checkout per esercenti, servizi di mance e paywall. Poiché LNbits è progettato per essere eseguito sui server degli stessi operatori, la sicurezza di ogni installazione dipende dalla persona che la gestisce. Arc ha dichiarato a maggio che circa 200.000 persone eseguono il software in autonomia.

LNbits ha prima avvisato gli operatori domenica di disattivare la sua estensione Paywall mentre indagava su una potenziale vulnerabilità. Poco più di un'ora dopo, il progetto ha esortato gli utenti a spegnere immediatamente i propri server LNbits, citando un'ondata di attacchi, e ha portato offline le proprie installazioni ospitate.

In un annuncio che accompagna la patch di emergenza, LNbits ha dichiarato che la vulnerabilità interessa tutte le versioni precedenti alla 1.7.0 e espone i fondi al rischio di furto. L'azienda non ha ancora dettagliato l'exploit né quanti operatori sono stati coinvolti, e ha detto che seguirà un rapporto separato con i dettagli dell'exploit. Fintanto che quel rapporto non arriverà, l'entità complessiva delle perdite tra le istanze autogestite resta non divulgata.

LNbits ha anche avvertito che le credenziali esposte prima dell'aggiornamento potrebbero comunque consentire agli aggressori l'accesso in seguito. Ha esortato gli operatori a reimpostare le chiavi dei wallet, sostituire le credenziali delle fonti di finanziamento e considerare compromessi i segreti memorizzati nelle impostazioni di LNbits, raccomandando di passare a un nuovo server in caso di sospetta compromissione.

Un utente, Kevin Ravensberg, ha dichiarato che aggressori hanno sfruttato la sua istanza LNbits prelevando circa 2,3 milioni di satoshi, ovvero 0,023 Bitcoin, attraverso account appena creati, prima che riuscisse a spegnere il server.

Cointelegraph ha contattato Ben Arc e LNbits per un commento.