Het Bitcoin Lightning-portemonnee-platform LNbits heeft gebruikers opgeroepen onmiddellijk te updaten naar de nieuwste versie, nadat een golf van aanvallen op LNbits-instanties werd gemeld die heeft geleid tot gestolen fondsen.

Het project publiceerde versie 1.7.0 op dinsdag, twee dagen na de eerste openbare waarschuwingen, en omschreef dit als een kritieke release die kwetsbaarheden verhelpt en authenticatie, extensiebeheer en betalingsverwerking versterkt. LNbits waarschuwde echter dat een update alleen niet voldoende bescherming biedt voor installaties waarvan de inloggegevens al gecompromitteerd waren.

"Het zijn zeer uitdagende dagen geweest, waarin we onvermoeibaar hebben gewerkt om de v1.7-release uit te brengen nadat onze gebruikers en wij verliezen hebben geleden", aldus LNbits-oprichter Ben Arc in een bericht op X dat ook werd gedeeld op Nostr.

LNbits levert software voor het draaien van Bitcoin Lightning-portemonnees — gebaseerd op het Lightning Network, de laag van Bitcoin voor snelle, goedkope betalingen — evenals betaaltoepassingen, waaronder betaalsystemen voor handelaren, fooidiensten en paywalls. Omdat LNbits is ontworpen om op servers van operators zelf te draaien, hangt de beveiliging van elke installatie af van de persoon die deze beheert. Arc zei in mei dat ongeveer 200.000 mensen de software zelf draaien.

LNbits waarschuwde operators op zondag voor het eerst om de Paywall-extensie uit te schakelen, terwijl het bedrijf een mogelijke kwetsbaarheid onderzocht. iets meer dan een uur later riep het project gebruikers op om hun LNbits-servers onmiddellijk af te sluiten, verwijzend naar een golf van aanvallen, en nam het ook zijn eigen gehoste installaties offline.

In een aankondiging bij de noodpatch verklaarde LNbits dat de kwetsbaarheid alle versies vóór 1.7.0 treft en fondsen blootstelt aan diefstal. Het bedrijf heeft de aanvalsmethode of het aantal getroffen operators nog niet bekendgemaakt, en zei dat een apart rapport met de details van de aanval zal volgen. Totdat rapport verschijnt, blijft de totale omvang van de verliezen bij zelf beheerde instanties onbekend.

LNbits waarschuwde ook dat inloggegevens die vóór de upgrade waren blootgesteld, aanvallende daarna nog steeds toegang konden geven. Het riep operators op om portemonneesleutels te resetten, inloggegevens van financieringsbronnen te vervangen en geheimen die zijn opgeslagen in de LNbits-instellingen als gecompromitteerd te beschouwen, en adviseerde te verhuizen naar een nieuwe server indien een inbreuk wordt vermoed.

Eén gebruiker, Kevin Ravensberg, verklaarde dat aanvallers zijn LNbits-instantie misbruikten en ongeveer 2,3 miljoen satoshis, oftewel 0,023 Bitcoin, opnamen via nieuw aangemaakte accounts voordat hij de server kon afsluiten.

Cointelegraph heeft contact opgenomen met Ben Arc en LNbits voor commentaar.