LNbits, het open-source Lightning Network wallet- en accountplatform, bracht op 10 november versie 1.7.0 uit als een dringende beveiligingsupdate en drong er bij alle operators op aan te upgraden voordat ze hun servers opnieuw starten. Het officiële X-account van het project kondigde de release aan met een link naar de GitHub-release, met het label "SECURITY UPDATE".

De patch reageert op een golf van aanvallen die in het weekend begon. Op 8 november plaatste LNbits op X dat alle gebruikers hun LNbits-servers onmiddellijk moesten stoppen na meldingen van actieve aanvallen, en voegde daaraan toe dat er beveiligingspatches werden voorbereid en dat "voorzichtigheid boven alles ging." Het project schakelde ook instanties op zijn hosted service uit.

Meerdere rapporten documenteerden ongeautoriseerde accountcreatie en opnames van gelden. Kevin Ravensberg, operator van de Telegram-tipservice BitTipBot, verklaarde publiekelijk dat aanvallers nieuwe accounts op zijn instantie hebben aangemaakt en tussen ongeveer 09:22 en 14:00 UTC op 8 november 2.285.545 satoshis (circa 0,0229 BTC) hebben opgenomen.

Volgens de officiële upgrade-richtlijnen die tegelijk met de release werden gepubliceerd, zijn alle versies vóór 1.7.0 getroffen en lopen "gelden die draaien op eerdere versies van LNbits het risico gestolen te worden." Het project zei dat 1.7.0 beveiligingsfixes bevat voor het incident dat op 8 november werd ontdekt en dat een volledig technisch rapport over de exploit zal volgen. Omdat LNbits accounts voor meerdere gebruikers en extensies aanbiedt bovenop één financieringsbron, reikt het belang van de update verder dan individuele operators tot de gebruikers van ongepatchte instanties, zowel zelf gehost als beheerd, wier saldi afhangen van de software eronder.

Operators die een inbreuk vermoeden, wordt geadviseerd een nieuwe server op te zetten, aangezien een update alleen de toegang die een aanvaller al heeft verkregen niet kan verwijderen. Aanvullende herstelstappen omvatten het roteren van alle wallet-sleutels van gebruikers als Super Admin, het vervangen van inloggegevens van de financieringsbron (API-sleutels of macaroons), het roteren van andere geheimen die in instellingen zijn opgeslagen, en het controleren of opnieuw aanmaken van verbindingen voor extensies zoals NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA.

De GitHub-releaseopmerkingen beschrijven uitgebreide beveiligingsverbeteringen op het gebied van authenticatie, extensiebeheer en betalingsafhandeling, evenals afhankelijkheidsupdates. De versie bevat ook nieuwe functies, waaronder ondersteuning voor on-chain wallets, BOLT12 offer-betalingen, TOTP-tweefactorauthenticatie, NIP-17-ondersteuning, een jobplanner, automatische extensie-updates en hold invoice-ondersteuning voor de LNbits-financieringsbron.

Het project herinnert operators eraan dat LNbits functioneert als een hot wallet: alleen operationele saldi online moeten worden gehouden, activiteit regelmatig moet worden gecontroleerd en overtollige gelden naar offline sleutels moeten worden verplaatst — standaardpraktijk voor elke Lightning-service die gelden online aanhoudt.

LNbits werd in 2019 opgericht door Ben Arc als een gratis en open-sourceproject en richtte later een commerciële entiteit op om de ontwikkeling te ondersteunen. De software biedt accounts voor meerdere gebruikers en een grote suite aan extensies bovenop elke Lightning-financieringsbron, waaronder LND en Core Lightning. Bitcoin Magazine belichtte het project in september 2024 en noemde het "de WordPress voor je Bitcoin Lightning-node", met aandacht voor het wijdverbreide gebruik door individuen, bedrijven en node-operators die toegankelijke Lightning-tooling zoeken. Het wordt zowel zelf gehost als via beheerde instanties veelvuldig ingezet.

Bij de aankondiging van v1.7.0 heeft het project nog geen totaal gepubliceerd van de gelden die op alle getroffen instanties zijn verloren gegaan, en het beloofde technische rapport over de exploit moet nog verschijnen — twee factoren die het volledige beeld van het incident zullen bepalen. Operators die nog niet hebben geüpgraded, worden verwezen naar de officiële richtlijnen voordat ze hun servers weer online brengen.

Dit bericht, LNbits brengt dringende beveiligingsupdate 1.7.0 uit na aanvallen op 8 november waarbij gelden werden weggesluisd, verscheen voor het eerst op Bitcoin Magazine en is geschreven door Juan Galt.