LNbits chiede a tutti gli operatori di server di arrestare i sistemi dopo gli attacchi

LNbits, la piattaforma open source di wallet e account Lightning, ha chiesto a tutti gli operatori di arrestare immediatamente i propri server l'8 novembre dopo quella che ha descritto come "un'ondata di attacchi", con patch di sicurezza ancora in fase di rilascio.

"Tutti gli utenti LNbits devono arrestare i propri server LNbits IMMEDIATAMENTE", ha pubblicato il progetto su X alle 8:56 ET di domenica. "A seguito di un'ondata di attacchi, abbiamo diverse patch di sicurezza da rilasciare."

Il progetto ha in seguito dichiarato di aver disattivato tutte le istanze sul suo servizio di hosting gestito, my.lnbits.com, per precauzione, e che i servizi sarebbero ripresi entro 24 ore.

Il software consente agli operatori di creare wallet e applicazioni di pagamento su una fonte di finanziamento collegata; la documentazione elenca backend tra cui LND e Core Lightning. L'istruzione di arresto riguardava solo i server LNbits, non tutti i nodi della Lightning Network. In altre parole, l'ordine mirava al livello applicativo che gira sopra un nodo Lightning, non ai backend dei nodi stessi. E poiché un'istanza LNbits può detenere saldi di persone che utilizzano le app wallet di un operatore senza gestire alcuna infrastruttura propria, una vulnerabilità a questo livello può esporre fondi appartenenti agli utenti finali, e non solo a chi ha deployato il server.

Dal warning sul Paywall all'arresto completo

L'ordine completo di arresto dei server è seguito a un precedente avviso di LNbits che chiedeva agli operatori di disattivare immediatamente l'estensione Paywall mentre gli sviluppatori indagavano su un possibile bug. L'istruzione successiva riguardava tutti i server LNbits, e non solo le installazioni che utilizzavano quell'estensione.

L'avviso di arresto non ha identificato le versioni vulnerabili, spiegato il vettore d'attacco né indicato l'ammontare totale delle perdite. Senza un intervallo di versioni da verificare, gli operatori non potevano determinare dal solo annuncio se la propria installazione fosse interessata. L'avviso non esentava inoltre alcuna configurazione della fonte di finanziamento dall'istruzione di portare i server offline.

Un operatore segnala prelievi dalla propria istanza

In un resoconto di prima mano su X, l'operatore Kevin Ravensberg ha dichiarato che circa 2,29 milioni di satoshi — circa 0,0229 BTC — erano stati prelevati dalla sua istanza LNbits da account appena creati prima che riuscisse ad arrestare il server. Si è impegnato a risarcire gli utenti di BitTipBot, ma ha precisato che non avrebbero potuto accedere ai fondi finché LNbits non avesse corretto le vulnerabilità.

Il suo resoconto illustra come un attacco a una singola istanza possa coinvolgere persone che non hanno mai gestito il server: in questo caso, i saldi interessati appartenevano agli utenti di un servizio costruito sul suo deployment.

Patch ancora in attesa

Al momento della pubblicazione, la pagina delle release GitHub del progetto elencava ancora la v1.6.2, un hotfix per il backup PostgreSQL rilasciato il 18 settembre, come release più recente, e non indicava alcuna release che affrontasse gli attacchi di domenica.

Il contributor di LNbits Ben Arc ha dichiarato che le patch "dovrebbero essere mergiate e disponibili entro 24-48 ore".

Fintanto che una tale release non apparirà, gli operatori non hanno una versione corretta a cui aggiornarsi, e l'istruzione di arresto dei server risultava ancora in vigore alla pubblicazione. I riferimenti concreti da monitorare sono la pagina delle release GitHub per eventuali versioni successive alla v1.6.2, il periodo di ripristino dichiarato di 24 ore per my.lnbits.com, e l'account X del progetto per un aggiornato via libera.