LNbits brengt dringende beveiligingsupdate 1.7.0 uit na aanvallen van 8 november

LNbits, het open-source Lightning-portemonnee- en accountplatform, heeft op 10 november versie 1.7.0 uitgebracht als dringende beveiligingsupdate en alle operators opgedragen de patch te installeren voordat hun servers weer online gaan. Het officiële X-account van het project omschreef de release als een "SECURITY UPDATE" en verwees operators naar de GitHub-release notes voor de volledige lijst met wijzigingen.

LNbits, in 2019 door Ben Arc opgericht als gratis en open-source project, biedt accounts voor meerdere gebruikers en een uitgebreide reeks extensies bovenop elke Lightning funding source, waaronder LND en Core Lightning. Het wordt zowel zelf gehost als via beheerde instanties ingezet.

Aanvallen begonnen op 8 november

De tijdlijn van het incident begon in het weekend. Op 8 november riep het project gebruikers publiek op hun servers onmiddellijk stil te leggen, met de mededeling dat het liever voorzichtig was terwijl de beveiligingspatches werden voorbereid. LNbits schakelde ook elke instantie op zijn eigen gehoste service uit.

Rapporten van operators beschreven het aanmaken van ongeautoriseerde accounts, gevolgd door opnames van gebruikerssaldo. Kevin Ravensberg, die de Telegram-fooiendienst BitTipBot beheert, meldde dat aanvallenden nieuwe accounts opendeerden op zijn instantie en tussen circa 09:22 en 14:00 UTC op 8 november 2.285.545 satoshis opnamen — ongeveer 0,0229 Bitcoin (BTC).

Volgens de officiële upgrade-richtlijn die samen met de release werd gepubliceerd, is elke versie vóór 1.7.0 getroffen en lopen fondsen op eerdere builds het risico gestolen te worden. Het team bevestigde dat 1.7.0 fixes bevat die reageren op het incident dat op 8 november werd ontdekt, en zei dat een volledig technisch rapport over de exploit zal volgen. De aankondiging noemt de kwetsbaarheid niet, en er is geen totaaltelling van verliezen over de getroffen instanties gepubliceerd.

Sleutels roteren en gecompromitteerde servers herbouwen

Het installeren van de patch en het herstel na een compromittering zijn afzonderlijke taken. LNbits waarschuwde dat het updaten niet automatisch de toegang intrekt die een aanvaller mogelijk al heeft verkregen, waardoor een bijgewerkte server onveilig kan blijven als deze tijdens het aanvalsvenster is aangeraakt. De richtlijn draagt operators die een inbreuk vermoeden op om eerst logs en gegevens te bewaren en vervolgens een verse server met 1.7.0 op te zetten in plaats van de oude machine te vertrouwen. Het bewaren van die gegevens is belangrijk voor later forensisch onderzoek, omdat het beloofde technische rapport zal steunen op bewijs van het aanvalspad.

Vanaf de nieuwe server moet de Super Admin de privésleutel van elke gebruikersportemonnee roteren, waardoor de oude sleutel ongeldig wordt, en elke verbonden app moet met de vervangende sleutel worden bijgewerkt. Inloggegevens van funding sources, zoals API-sleutels of macaroons, moeten bij de bron worden ingetrokken en opnieuw uitgegeven, en andere geheimen in de serverinstellingen moeten ook worden geroteerd. Bestaande extensieverbindingen — waaronder NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA — moeten worden afgebroken en met de nieuwe inloggegevens worden herbouwd.

Wat versie 1.7.0 verandert

De release notes beschrijven verharding van authenticatie, extensiebeheer en betalingsverwerking, samen met dependency-updates, hoewel de specifieke wijziging die het aanvalspad sluit nog niet openbaar is gemaakt. Versie 1.7.0 introduceert ook nieuwe functies: ondersteuning voor on-chain portemonnees, BOLT12 offer-betalingen, TOTP-tweefactorauthenticatie, NIP-17-ondersteuning, een job scheduler, automatische extensie-updates en hold invoice-ondersteuning voor de LNbits funding source.

Het incidentlogboek van SlowMist vermeldt hetzelfde cijfer van 2.285.545 satoshis als verliesgeval van één instantie, en de aankondiging doet geen melding van enige compromittering van het Bitcoin-netwerk of het Lightning-protocol zelf. De bevestigde schade situeert zich tot nu toe bij servers van operators, niet bij de protocol-laag.

Volgens COINOTAG is de niet-openbaar gemaakte hoofdoorzaak het scherpste punt van dit verhaal. LNbits werkt van ontwerp als een hot wallet, en de officiële richtlijn vertelt operators om alleen operationele saldi online te houden terwijl het overschot naar offline sleutels wordt verplaatst. Tot het beloofde technische rapport het aanvalspad identificeert, moet elke ongepatchte of net bijgewerkte instantie als potentieel doelwit worden behandeld — de reden waarom de patch samen met een volledige credential-rotatieprocedure wordt uitgerold.

Het originele bericht is gepubliceerd door COINOTAG.