La piattaforma di wallet Bitcoin Lightning LNbits ha rilasciato la versione 1.7.0, un aggiornamento di sicurezza urgente pubblicato a seguito di un grave incidente di sicurezza che ha imposto avvisi cautelativi di spegnimento per gli utenti. Secondo il progetto, il rilascio è un pacchetto di sicurezza critico che affronta vulnerabilità, autenticazione, elaborazione dei pagamenti e gestione delle estensioni, e gli operatori sono invitati ad agire il più presto possibile. Si consiglia a tutti gli utenti di LNbits di aggiornare alla v1.7.0 con urgenza.

LNbits è un software gratuito e open source che funziona sopra backend di nodi della Lightning Network come LND e Core Lightning, fornendo la gestione di account e wallet per gli operatori e i loro utenti. La piattaforma può essere estesa con moduli plug-in, tra cui l'estensione Paywall che ha avuto un ruolo negli eventi precedenti all'aggiornamento. Poiché ogni istanza LNbits gestisce wallet per conto di più utenti, un difetto nel software può tradursi direttamente in perdite per le persone che vi detengono saldi — è per questo che l'appello all'aggiornamento del progetto è rivolto a ogni installazione.

LNbits spinge per l'aggiornamento d'emergenza dopo le perdite segnalate

L'aggiornamento fa seguito a un avviso emesso da LNbits l'8 novembre, quando il team ha chiesto agli operatori di spegnere i propri server in mezzo a ondate di attacchi. Più presto lo stesso giorno, il team aveva chiesto agli utenti di disattivare l'estensione Paywall per poter indagare su una possibile vulnerabilità. Il divario di circa due giorni tra quegli avvisi e il rilascio con la patch dà un'idea di quanto rapidamente gli operatori di infrastrutture di wallet pubbliche debbano muoversi una volta che un difetto diventa oggetto di attacco.

Ben Arc, il creatore di LNbits, ha successivamente ammesso che le perdite sono state subite sia dagli utenti sia dal progetto, e che i giorni precedenti alla v1.7.0 sono stati particolarmente difficili.

Il progetto ha annunciato il rilascio in un post su X il 10 novembre:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Almeno un operatore ha segnalato pubblicamente la perdita di circa 2,29 milioni di satoshi — circa 0,023 BTC — dopo che utenti non autorizzati sono stati registrati su un'istanza LNbits e i fondi sono stati prelevati. Il progetto non ha ancora pubblicato un conteggio completo delle perdite subite da tutti gli operatori interessati.

Aggiornarsi da solo potrebbe non bastare

LNbits ha avvertito che l'aggiornamento da solo potrebbe non proteggere ogni operatore. Secondo il progetto, un operatore a rischio è quello le cui credenziali potrebbero essere già state compromesse, e c'è sempre la possibilità che le chiavi del wallet, le credenziali di finanziamento o altri segreti restino validi anche dopo l'applicazione della patch al software del wallet. Gli utenti che ritengono che la propria istanza sia stata compromessa dovrebbero cambiare le proprie credenziali e potrebbero voler ricostruire l'istanza su un nuovo server. Il consiglio riflette una realtà familiare ai software finanziari open source: chiudere la vulnerabilità nel codice ferma lo sfruttamento futuro, ma di per sé non neutralizza i segreti che potrebbero essere già stati esposti.

La distinzione è significativa perché il problema non riguarda Bitcoin o il protocollo della Lightning Network, ma le installazioni software di LNbits.

La v1.7.0 aggiunge 2FA, BOLT12 e supporto ai wallet on-chain

Oltre alle correzioni di sicurezza, la v1.7.0 è un rilascio ricco di funzionalità. Le note di rilascio su GitHub descrivono in dettaglio le nuove funzionalità, tra cui l'autenticazione a due fattori TOTP, il supporto ai wallet on-chain, i pagamenti con offerte BOLT12, il supporto a NIP-17, uno scheduler di job e gli aggiornamenti automatici delle estensioni. Di queste, l'autenticazione a due fattori TOTP — un codice basato sul tempo richiesto insieme alla password — spicca considerando l'attenzione dell'aggiornamento su autenticazione e accesso agli account. Il rilascio contiene anche numerose correzioni per le notifiche di pagamento, i backend Lightning, i wallet fiat e le estensioni Wasm.

Le correzioni relative ai pagamenti affrontano l'elaborazione duplicata dei retry BOLT12, il calcolo delle commissioni di Core Lightning e la contabilità delle commissioni di servizio per gli auto-pagamenti LND. L'annuncio copre anche gli aggiornamenti software, con il passaggio di LNbits a Python 3.13 e Pydantic 2, insieme ad ulteriori miglioramenti di sicurezza.

Per gli operatori, tuttavia, le nuove funzionalità non sono la priorità principale. LNbits sta lanciando un appello specifico all'azione, esortando tutte le installazioni attuali ad aggiornare alla v1.7.0 prima di riprendere il normale funzionamento. Le note di rilascio restano il riferimento definitivo per tale processo, e qualsiasi ulteriore rendiconto delle perdite da parte del progetto sarà la cifra da seguire mentre la community valuta le conseguenze.

Fonte: CryptoNinjas