Het Bitcoin Lightning-portemonneeplatform LNbits heeft versie 1.7.0 uitgebracht, een dringende beveiligingsupdate die volgde op een groot beveiligingsincident dat aanleiding gaf tot waarschuwende meldingen om servers stil te leggen. Volgens het project is de release een cruciaal beveiligingspakket dat kwetsbaarheden, authenticatie, betalingsverwerking en extensiebeheer aanpakt, en operators worden aangespoord zo snel mogelijk actie te ondernemen. Alle LNbits-gebruikers worden aangeraden dringend te upgraden naar v1.7.0.

LNbits is gratis, open-source software die draait op Lightning Network-nodebackends zoals LND en Core Lightning en account- en portemonneebeheer biedt voor operators en hun gebruikers. Het platform kan worden uitgebreid met plug-inmodules, waaronder de Paywall-extensie die een rol speelde bij de gebeurtenissen voorafgaand aan de update. Omdat elke LNbits-instantie portemonnees beheert namens meerdere gebruikers, kan een fout in de software direct leiden tot verliezen voor mensen met een saldo erop — daarom richt de oproep tot upgraden van het project zich op elke implementatie.

LNbits spoort aan tot noodupgrade na gemelde verliezen

De update volgt op een waarschuwing die LNbits op 8 november uitgaf, toen het team operators opdroeg hun servers offline te halen vanwege pieken in aanvallen. Eerder diezelfde dag had het team gebruikers gevraagd de Paywall-extensie uit te schakelen zodat een mogelijke kwetsbaarheid kon worden onderzocht. De ongeveer twee dagen tussen die waarschuwingen en de gepatchte release geven aan hoe snel operators van publiek toegankelijke portemonnee-infrastructuur moeten handelen zodra een kwetsbaarheid wordt aangevallen.

Ben Arc, de maker van LNbits, gaf later toe dat zowel gebruikers als het project verliezen hebben geleden en dat de dagen voor v1.7.0 bijzonder zwaar waren.

Het project kondigde de release aan in een bericht op X op 10 november:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Minstens één operator heeft publiekelijk het verlies gemeld van ongeveer 2,29 miljoen satoshis — zo'n 0,023 BTC — nadat ongeautoriseerde gebruikers waren geregistreerd op een LNbits-instantie en fondsen waren opgenomen. Het project heeft nog geen volledige opgave gepubliceerd van de verliezen geleden door alle getroffen operators.

Upgraden alleen is mogelijk niet voldoende

LNbits heeft gewaarschuwd dat upgraden alleen mogelijk niet elke operator beschermt. Volgens het project loopt een operator risico wanneer diens inloggegevens mogelijk al zijn gecompromitteerd, en er is altijd een kans dat portemonneesleutels, financieringsreferenties of andere geheimen geldig blijven, zelfs nadat de portemonneesoftware is gepatcht. Gebruikers die denken dat hun instantie is gecompromitteerd, moeten hun inloggegevens wijzigen en willen de instantie wellicht op een nieuwe server herbouwen. Het advies weerspiegelt een realiteit die bekend is bij open-source financiële software: het dichten van de codekwetsbaarheid stopt nieuwe uitbuiting, maar neutraliseert niet op zichzelf geheimen die mogelijk al zijn blootgesteld.

Het onderscheid is belangrijk omdat het probleem niet bij Bitcoin of het Lightning Network-protocol ligt, maar bij LNbits-software-implementaties.

v1.7.0 voegt 2FA, BOLT12 en on-chain portemonneeondersteuning toe

Naast de beveiligingsfixes is v1.7.0 een substantiële functierelease. De release notes op GitHub beschrijven nieuwe functionaliteit, waaronder TOTP-tweefactorauthenticatie, ondersteuning voor on-chain portemonnees, BOLT12-betalingen, NIP-17-ondersteuning, een taakplanner en automatische extensie-updates. Daarvan valt TOTP-tweefactorauthenticatie — een tijdgebaseerde code die naast een wachtwoord vereist is — op gezien de focus van de update op authenticatie en accounttoegang. De release bevat ook tal van fixes voor betalingsnotificaties, Lightning-backends, fiat-portemonnees en Wasm-extensies.

Betalingsgerelateerde fixes pakken dubbele verwerking van BOLT12-herpogingen aan, de footberekening van Core Lightning en de verwerking van servicekosten voor LND-zelfbetalingen. De aankondiging behandelt ook software-upgrades, waarbij LNbits naar Python 3.13 en Pydantic 2 is verplaatst, samen met aanvullende beveiligingsverbeteringen.

Voor operators is de nieuwe functionaliteit echter niet de hoogste prioriteit. LNbits doet een expliciete oproep: alle huidige implementaties worden aangeraden te upgraden naar v1.7.0 voordat de normale werking wordt hervat. De release notes blijven het definitieve naslagwerk voor dat proces, en elke verdere opgave van verliezen door het project zal het cijfer zijn om in de gaten te houden naarmate de gemeenschap de nasleep beoordeelt.

Bron: CryptoNinjas