LNbits, otwartoźródłowa platforma portfeli i kont oparta na sieci Lightning, wydała 10 listopada wersję 1.7.0 jako pilną aktualizację bezpieczeństwa i nakazała każdemu operatorowi jej instalację przed ponownym uruchomieniem serwerów.

Nakaz nastąpił po atakach na instancje LNbits 8 listopada. Oficjalne konto projektu na X określiło wydanie mianem „SECURITY UPDATE” w poście ogłaszającym nową wersję.

Czym jest LNbits

LNbits to darmowa, otwartoźródłowa aplikacja napisana w Pythonie, działająca w oparciu o sieć Lightning, protokół płatności drugiej warstwy Bitcoina. Umożliwia osobom prywatnym, firmom i społecznościom samodzielny hosting systemów portfeli i kont, z obsługą wielu użytkowników, fakturowaniem oraz frameworkiem rozszerzeń dodającym narzędzia takie jak funkcje punktu sprzedaży czy skarbonki na napiwki. Platforma może łączyć się z kilkoma źródłami finansowania Lightning, w tym z LND i Core Lightning.

Ponieważ LNbits jest najczęściej wdrażany przez operatorów hostujących samodzielnie, a nie za pośrednictwem centralnej usługi hostingowej, wskazówki dotyczące aktualizacji są zazwyczaj przekazywane bezpośrednio administratorom serwerów przez oficjalne kanały komunikacji projektu, w tym jego konto na X. Ten model wdrażania kształtuje również przebieg incydentu bezpieczeństwa: nie ma centralnego dostawcy, który wdrażałby poprawki w imieniu użytkowników, więc reakcja na pilne wydanie takie jak 1.7.0 spoczywa na każdym administratorze z osobną — a każdy posiadacz konta na instancji LNbits w praktyce polega na swoim operatorze w kwestii zastosowania zaleceń.

Instrukcje dla operatorów

Zgodnie z ogłoszeniem instalacja wersji 1.7.0 powinna zostać zakończona przed ponownym uruchomieniem każdego dotkniętego serwera. W praktyce wydanie to jest wyznaczonym przez projekt krokiem naprawczym po incydentach z 8 listopada, a instancje nadal działające na wcześniejszych wersjach nie spełniły jeszcze podanego warunku wznowienia działania.

Streszczone ogłoszenie nie zawierało dodatkowych szczegółów technicznych dotyczących ataków z 8 listopada, takich jak metoda przełamania zabezpieczeń ani liczba dotkniętych instancji. Wszelkie dalsze ujawnienia — czy to szczegóły techniczne, dodatkowe zalecenia, czy kolejne wytyczne — pojawią się przez oficjalne kanały komunikacji projektu, te same, przez które operatorzy otrzymali nakaz aktualizacji, co czyni je naturalnym miejscem do obserwacji w miarę rozwoju sytuacji.

Ta treść została po raz pierwszy opublikowana na COINOTAG: https://en.coinotag.com/lnbits-1-7-0-urgent-security-update-november-8-attacks