BitcoinライトニングウォレットプラットフォームのLNbitsは、LNbitsインスタンスを狙った一連の攻撃により資金が盗まれたと報告し、ユーザーに最新バージョンへの即時アップデートを呼びかけた。

このプロジェクトは、最初の公開警告から2日後の火曜日にバージョン1.7.0を公開し、脆弱性に対処し、認証、拡張機能管理、決済処理を強化する重要なリリースだと説明した。ただしLNbitsは、アップデートだけではすでに認証情報が漏洩している環境を保護できないと警告した。

「ここ数日、ユーザーや私自身が損失を被った後、v1.7リリースを出すために粘り強く作業する、非常に大変な日々でした」と、LNbitsの作者Ben ArcはXへの投稿で述べ、この投稿はNostrでも共有された。

LNbitsは、高速かつ低コストな決済のためのBitcoinのレイヤーであるライトニングネットワーク上に構築されたBitcoinライトニングウォレットや、店舗の決済、チップサービス、ペイウォールなどの決済アプリケーションを運用するためのソフトウェアを提供している。LNbitsは運営者自身のサーバー上で動作させる設計になっているため、各環境のセキュリティは運用する個人次第となる。Arc氏は5月、約20万人がこのソフトウェアを自ら運用していると述べた。

LNbitsはまず日曜日、潜在的な脆弱性を調査している間、Paywall拡張機能を無効にするよう運営者に警告した。その1時間余り後、同プロジェクトは一連の攻撃を理由に、ユーザーに対してLNbitsサーバーを直ちに停止するよう呼びかけ、自社のホスト型環境もオフラインにした。

緊急パッチに伴う発表の中でLNbitsは、この脆弱性が1.7.0より前のすべてのバージョンに影響し、資金が盗難の危険にさらされると説明した。同社はまだ悪用手法や影響を受けた運営者の数を明らかにしておらず、悪用手法の詳細を示す別のレポートが追って公開されるという。そのレポートが発表されるまで、セルフホスト環境全体の損失の規模は不明のままだ。

LNbitsはまた、アップグレード前に露出した認証情報がその後も攻撃者のアクセスを許す可能性があると注意喚起した。ウォレットキーの再設定、資金源の認証情報の交換、LNbits設定に保存されているシークレットは漏洩済みとみなすよう運営者に促し、侵害が疑われる場合は新しいサーバーへの移行を推奨した。

あるユーザーのKevin Ravensberg氏は、攻撃者が自身のLNbitsインスタンスを悪用し、サーバーを停止する前に新規に作成されたアカウントを通じて約230万サトシ(0.023 Bitcoin)を引き出されたと述べた。

CointelegraphはBen Arc氏およびLNbitsにコメントを求めた。