ビットコインLightningウォレットおよび決済アプリケーションを運用するためのプラットフォームLNbitsは、LNbitsインスタンスへの一連の攻撃により資金が窃取されたことを受け、ユーザーに対し最新版への即時アップグレードを呼びかけた。

プロジェクトは火曜日にバージョン1.7.0を公開し、脆弱性に対処し、認証、拡張機能管理、決済処理を強化する重要リリースであると説明した。ただしLNbitsは、認証情報がすでに漏洩しているインストール環境については、アップデートだけでは保護できないと注意を促している。

「ユーザーと私たち自身が損失を被った後、v1.7リリースを出すためにたゆまぬ努力を続けた、非常に大変な数日でした」と、LNbitsの開発者Ben Arc氏はXで述べた。

LNbitsの概要

LNbitsは、 merchants チェックアウト、チップ送金サービス、ペイウォールなど、ビットコインLightningウォレットおよび決済アプリケーションを運用するためのソフトウェアを提供している。Arc氏は5月に、約20万人がこのソフトウェアを自身で運用していると述べた。この数字は自前のインフラでソフトウェアを運用する運用者を指しており、アップグレードと認証情報のローテーションがインスタンスごとの作業となること、そして既存のインストール環境向けの具体的なクリーンアップ手順とともにリリースが提供された理由を説明している。

事件の経緯

LNbitsは日曜日、潜在的な脆弱性を調査する間、Paywall拡張機能を無効化するよう運用者に最初の警告を出した。そのわずか1時間余り後、プロジェクトは一連の攻撃を理由にユーザーへLNbitsサーバーの即時シャットダウンを呼びかけ、自社のホスティング環境もオフラインにした。

最初の警告の2日後に公開された緊急パッチに添付された発表の中で、LNbitsはこの脆弱性が1.7.0以前のすべてのバージョンに影響し、資金が窃取されるリスクにさらされていると説明した。つまり、旧バージョンのままのデプロイは、アップグレードされるまで露出が続く。プロジェクトはまだ、悪用手法の詳細や影響を受けた運用者の数を明らかにしていない。

運用者が取るべき対策

LNbitsは、アップグレード前に漏洩した認証情報がその後も攻撃者にアクセスを許す可能性があると警告した。同プロジェクトは、ウォレット鍵のリセット、資金源の認証情報の置き換え、LNbits設定に保存されたシークレットは漏洩済みとみなすよう運用者に促し、侵害が疑われる場合は新規サーバーへの移行を推奨した。

あるユーザーのKevin Ravensberg氏は、サーバーを停止する前に攻撃者にLNbitsインスタンスを悪用され、新規に作成されたアカウントを通じて約230万サトシ(0.023 BTC)を引き出されたと述べた。

LNbitsは、悪用手法の詳細を扱う別のレポートが後日公開されるとしている。CointelegraphはBen Arc氏とLNbitsにコメントを求めた(原文レポート)。