LNbits vraagt alle serverbeheersers dringend servers stil te leggen na golf van aanvallen

LNbits, het open-source Lightning-portemonnee- en accountsplatform, heeft alle serverbeheersers op 8 november opgedragen hun servers onmiddellijk stil te leggen na wat het zelf omschreef als "een golf van aanvallen," nog voordat de beveiligingspatches beschikbaar zijn.

"Alle LNbits-gebruikers moeten hun LNbits-servers ONMIDDELLIJK stoppen," plaatste het project op X om 8:56 uur ET op zondag. "Na een golf van aanvallen moeten we een aantal beveiligingspatches uitrollen."

Het project meldde later dat het als voorzorgsmaatregel alle instanties op zijn beheerde hostingservice my.lnbits.com had uitgeschakeld, en dat de dienst binnen 24 uur zou worden hervat.

Met de software kunnen beheerders portemonnees en betaalapplicaties bouwen bovenop een verbonden financieringsbron, waarbij de documentatie backends vermeldt zoals LND en Core Lightning. Het bevel tot stillegging was alleen gericht op LNbits-servers, niet op elke node in het Lightning Network. Met andere woorden: de instructie betrof de applicatielaag die bovenop een Lightning-node draait, niet de node-backends zelf. En omdat een LNbits-instantie saldi kan bevatten van mensen die de portemonnee-apps van een beheerder gebruiken zonder zelf infrastructuur te draaien, kan een kwetsbaarheid op deze laag ook fondsen van eindgebruikers blootstellen, en niet alleen die van degene die de server heeft uitgerold.

Van Paywall-waarschuwing tot volledige stillegging

Het algehele stilleggingsbevel volgde op een eerdere waarschuwing van LNbits waarin beheerders werd gevraagd de Paywall-extensie onmiddellijk uit te schakelen, terwijl ontwikkelaars een mogelijke bug onderzochten. De daaropvolgende instructie gold voor alle LNbits-servers, niet alleen voor installaties die die extensie gebruikten.

In het stilleggingsbericht werden geen kwetsbare versies genoemd, werd de aanvalsroute niet toegelicht en werd geen totaalschade opgegeven. Zonder een versiereeks om op te controleren, konden beheerders op basis van de aankondiging alleen niet vaststellen of hun eigen installatie was getroffen. Ook werd geen enkele configuratie van financieringsbronnen uitgezonderd van de instructie om servers offline te halen.

Beheerder meldt opname van instantie

In een eigen verslag op X meldde beheerder Kevin Ravensberg dat circa 2,29 miljoen satoshis — ongeveer 0,0229 BTC — van zijn LNbits-instantie waren opgenomen door pas aangemaakte accounts, voordat hij de server kon stoppen. Hij beloofde gebruikers van BitTipBot schadeloos te stellen, maar zei dat zij geen toegang tot hun fondsen zouden hebben totdat LNbits de kwetsbaarheden heeft gepleisterd.

Zijn verslag illustreert hoe een aanval op één instantie ook mensen kan raken die de server zelf nooit hebben beheerd: de getroffen saldi behoorden in dit geval tot gebruikers van een dienst die op zijn implementatie was gebouwd.

Patches nog niet beschikbaar

Op moment van publicatie stond de GitHub-releasespagina van het project nog v1.6.2 vermeld als meest recente release, een hotfix voor PostgreSQL-backups van 18 september, en werd geen release genoemd die de aanvallen van zondag adressert.

LNbits-medewerker Ben Arc zei dat de patches "binnen 24-48 uur moeten worden gemerged en beschikbaar komen."

Totdat zo'n release verschijnt, is er geen gepleisterde versie om naar te upgraden, en het stilleggingsbevel gold op moment van publicatie nog steeds. Concrete aandachtspunten zijn de GitHub-releasespagina voor alles nieuwer dan v1.6.2, het genoemde herstelvenster van 24 uur voor my.lnbits.com, en het X-account van het project voor een eventueel all-clear.