LNbits, het open-source Lightning wallet- en accountsplatform, bracht op 10 november versie 1.7.0 uit als dringende beveiligingsupdate en drong erop aan dat elke beheerder deze zou installeren voordat servers weer online worden gebracht.

De instructie volgde op aanvallen op LNbits-instanties op 8 november. Het officiële X-account van het project bestempelde de release in een aankondigingsbericht als een "SECURITY UPDATE".

Wat LNbits is

LNbits is een gratis, open-source applicatie geschreven in Python die draait bovenop het Lightning Network, het layer-2 betaalprotocol van Bitcoin. Het stelt individuen, bedrijven en gemeenschappen in staat om wallet- en accountsystemen zelf te hosten, met ondersteuning voor meerdere gebruikers, facturering en een extensiekader dat tools toevoegt zoals point-of-sale- en fooienpot-functionaliteit. Het platform kan verbinding maken met verschillende Lightning-financieringsbronnen, waaronder LND en Core Lightning.

Omdat LNbits meestal wordt uitgerold door zelfhostende beheerders in plaats van via een centrale gehoste dienst, wordt upgrade-richtlijnen doorgaans rechtstreeks aan serverbeheerders geleverd via de officiële communicatiekanalen van het project, waaronder het X-account. Dat implementatiemodel bepaalt ook hoe een beveiligingsincident verloopt: er is geen centrale aanbieder die namens gebruikers fixes uitrolt, dus het reageren op een dringende release zoals 1.7.0 komt neer op elke individuele beheerder — en iedereen met een account op een LNbits-instantie is in feite afhankelijk van zijn of haar beheerder om op de waarschuwing te handelen.

Instructies voor beheerders

Volgens de aankondiging moet de installatie van versie 1.7.0 worden voltooid voordat een getroffen server weer online wordt gebracht. In de praktijk is de release de aangewezen herstelstap van het project na de incidenten van 8 november, en instanties die nog oudere versies draaien hebben de gestelde voorwaarde voor het hervatten van de dienstverlening nog niet bereikt.

De hier samengevatte aankondiging bevatte geen aanvullende technische details over de aanvallen van 8 november, zoals de wijze van aanval of het aantal getroffen instanties. Verdere openbaarmakingen — of het nu gaat om technische details, aanvullende adviezen of vervolginstructies — zouden via de officiële communicatiekanalen van het project komen, dezelfde kanalen waarmee beheerders de upgrade-richtlijn ontvingen, waardoor die kanalen de logische plek zijn om te volgen naarmate de situatie zich ontwikkelt.

Deze inhoud werd voor het eerst gepubliceerd op COINOTAG: https://en.coinotag.com/lnbits-1-7-0-urgent-security-update-november-8-attacks