LNbits wydaje pilną aktualizację bezpieczeństwa 1.7.0 po atakach z 8 listopada

LNbits, open source'owy portfel i platforma kont sieci Lightning, wydał 10 listopada wersję 1.7.0 jako pilną aktualizację bezpieczeństwa, nakazując wszystkim operatorom instalację poprawki przed ponownym uruchomieniem serwerów. Oficjalne konto projektu na X opisało wydanie jako "SECURITY UPDATE" i odesłało operatorów do notatek wydania na GitHubie z pełną listą zmian.

Założony w 2019 roku przez Bena Arca jako wolny projekt open source, LNbits oferuje konta wielodostępne oraz szeroki zestaw rozszerzeń działających na dowolnym źródle finansowania Lightning, w tym LND i Core Lightning. Jest wdrażany zarówno jako instalacje samoobsługowe, jak i poprzez zarządzane instancje.

Ataki rozpoczęły się 8 listopada

Oś czasu incydentu rozpoczęła się w weekend. 8 listopada projekt publicznie wezwał użytkowników do natychmiastowego zatrzymania serwerów, oświadczając, że woli zachować ostrożność, przygotowując poprawki bezpieczeństwa. LNbits wyłączył również wszystkie instancje na własnej usłudze hostingowej.

Operatorzy zgłaszali tworzenie nieautoryzowanych kont, po których następowały wypłaty z sald użytkowników. Kevin Ravensberg, prowadzący usługę napiwków na Telegramie BitTipBot, poinformował, że atakujący otworzyli nowe konta na jego instancji i wypłacili 2 285 545 satoshi — około 0,0229 Bitcoina (BTC) — między około 09:22 a 14:00 UTC 8 listopada.

Zgodnie z oficjalnymi wytycznymi aktualizacji opublikowanymi wraz z wydaniem wszystkie wersje sprzed 1.7.0 są dotknięte, a środki działające na wcześniejszych kompilacjach są narażone na kradzież. Zespół potwierdził, że wersja 1.7.0 zawiera poprawki reagujące na incydent odkryty 8 listopada, i zapowiedział pełny raport techniczny dotyczący exploita. Ogłoszenie nie wymienia luki, a łączna suma strat w dotkniętych instancjach nie została opublikowana.

Rotacja kluczy i przebudowa naruszonych serwerów

Instalacja poprawki i odzyskiwanie po naruszeniu to osobne zadania. LNbits ostrzegł, że aktualizacja nie cofa automatycznie żadnego dostępu, który atakujący mógł już uzyskać, co oznacza, że zaktualizowany serwer może pozostać niebezpieczny, jeśli był dotknięty w oknie ataku. Wytyczne nakazują operatorom podejrzewającym naruszenie najpierw zabezpieczenie logów i zapisów, a następnie wdrożenie nowego serwera z wersją 1.7.0 zamiast ufać starej maszynie. Zachowanie tych zapisów ma znaczenie dla późniejszej analizy śledczej, ponieważ zapowiedziany raport techniczny będzie opierał się na dowodach ścieżki ataku.

Z nowego serwera Super Admin powinien dokonać rotacji klucza prywatnego każdego portfela użytkownika, co unieważnia stary klucz, a każda podłączona aplikacja musi zostać zaktualizowana o klucz zastępczy. Poświadczenia źródeł finansowania, takie jak klucze API czy macaroony, muszą zostać cofnięte i ponownie wydane u źródła, a inne tajemnice przechowywane w ustawieniach serwera również powinny zostać zmienione. Istniejące połączenia rozszerzeń — w tym NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat i FOSSA — muszą zostać rozebrane i przebudowane z nowymi poświadczeniami.

Co zmienia wersja 1.7.0

Notatki wydania opisują wzmocnienie zabezpieczeń uwierzytelniania, zarządzania rozszerzeniami i obsługi płatności, a także aktualizacje zależności, choć konkretna zmiana zamykająca ścieżkę ataku nie została jeszcze ujawniona. Wersja 1.7.0 wprowadza również nowe funkcje: obsługę portfela on-chain, płatności ofert BOLT12, dwuskładnikowe uwierzytelnianie TOTP, obsługę NIP-17, harmonogram zadań, automatyczne aktualizacje rozszerzeń oraz obsługę faktur z odroczoną realizacją dla źródła finansowania LNbits.

Dziennik incydentów SlowMist podaje tę samą kwotę 2 285 545 satoshi jako przypadek straty na pojedynczej instancji, a ogłoszenie nie zawiera żadnych twierdzeń o naruszeniu sieci Bitcoin ani samego protokołu Lightning. Potwierdzone szkody dotychczas dotyczą serwerów operatorów, a nie warstwy protokołu.

Według COINOTAG nieujawniona przyczyna źródłowa jest najmocniejszym punktem tej historii. LNbits działa z założenia jako portfel hot, a oficjalne wytyczne nakazują operatorom utrzymywanie online wyłącznie sald operacyjnych przy przenoszeniu nadwyżki do kluczy offline. Dopóki zapowiedziany raport techniczny nie zidentyfikuje ścieżki ataku, każda niepoprawiona lub świeżo zaktualizowana instancja powinna być traktowana jako potencjalny cel — dlatego poprawka została wydana wraz z kompletną procedurą rotacji poświadczeń.

Oryginalny raport został opublikowany przez COINOTAG.