LNbits, een platform voor het draaien van Bitcoin Lightning-portemonnees en betaalapplicaties, heeft gebruikers opgeroepen onmiddellijk te updaten naar de nieuwste versie nadat een golf van aanvallen op LNbits-instanties heeft geleid tot gestolen gelden.

Het project publiceerde dinsdag versie 1.7.0 en noemde het een kritieke release die kwetsbaarheden verhelpt en authenticatie, extensiebeheer en betalingsafhandeling versterkt. LNbits waarschuwde echter dat een update alleen geen bescherming biedt voor installaties waarvan de inloggegevens al zijn gecompromitteerd.

"Het zijn heel moeilijke dagen geweest, waarin we onafgebroken hebben gewerkt om de v1.7-release uit te brengen nadat onze gebruikers en wij verliezen hebben geleden", aldus LNbits-oprichter Ben Arc op X.

Wat LNbits doet

LNbits levert software voor het draaien van Bitcoin Lightning-portemonnees en betaalapplicaties, waaronder merchant checkouts, fooidiensten en paywalls. Arc zei in mei dat ongeveer 200.000 mensen de software zelf draaien. Dat getal slaat op beheerders die de software op hun eigen infrastructuur draaien, waardoor updaten en vernieuwen van inloggegevens een per instantie te verrichten taak is — en dat verklaart waarom de release samen met expliciete opschoonrichtlijnen voor bestaande installaties werd uitgebracht.

Hoe het incident verliep

LNbits waarschuwde beheerders zondag eerst om de Paywall-extensie uit te schakelen terwijl het project een mogelijke kwetsbaarheid onderzocht. Ruim een uur later riep het project gebruikers op hun LNbits-servers onmiddellijk uit te schakelen, met een verwijzing naar een golf van aanvallen, en het nam ook zijn eigen gehoste installaties offline.

In een aankondiging bij de noodpatch, die twee dagen na die eerste waarschuwing verscheen, zei LNbits dat de kwetsbaarheid alle versies vóór 1.7.0 raakt en gelden diefstalgevaar loopt — wat betekent dat elke implementatie die nog op een eerdere release draait, blootgesteld blijft totdat deze wordt bijgewerkt. Het project heeft de exploit en het aantal getroffen beheerders nog niet gedetailleerd beschreven.

Stappen voor beheerders

LNbits waarschuwde dat inloggegevens die vóór de upgrade zijn blootgesteld, aanvallenden daarna nog steeds toegang kunnen geven. Het riep beheerders op portemonneesleutels te resetten, inloggegevens van financieringsbronnen te vervangen en geheimen die in de LNbits-instellingen zijn opgeslagen als gecompromitteerd te behandelen, en adviseerde naar een nieuwe server te verhuizen als compromittering wordt vermoed.

Eén gebruiker, Kevin Ravensberg, zei dat aanvallenden zijn LNbits-instantie misbruikten en ongeveer 2,3 miljoen satoshis, oftewel 0,023 Bitcoin, opnamen via nieuw aangemaakte accounts voordat hij de server kon uitschakelen.

LNbits zei dat een afzonderlijk rapport met details over de exploit zal volgen. Cointelegraph heeft om reactie contact opgenomen met Ben Arc en LNbits (origineel bericht).