LNbits, otwarte oprogramowanie portfela i platformy kont dla sieci Lightning, wydało 10 listopada wersję 1.7.0 jako pilną aktualizację bezpieczeństwa, nakazując wszystkim operatorom aktualizację przed ponownym uruchomieniem serwerów. Oficjalne konto projektu na X ogłosiło wydanie linkiem do notki wydania na GitHubie, określając je mianem „SECURITY UPDATE” (aktualizacji bezpieczeństwa).

Łatka odpowiada na falę ataków rozpoczętą w weekend. 8 listopada LNbits poinformował na X, że wszyscy użytkownicy powinni natychmiast zatrzymać swoje serwery LNbits po zgłoszeniu aktywnych ataków, dodając, że poprawki bezpieczeństwa są przygotowywane i że „lepiej zachować ostrożność”. Projekt wyłączył również instancje w swojej usłudze hostowanej.

Wiele doniesień dokumentowało nieautoryzowane tworzenie kont i wypłaty środków. Kevin Ravensberg, operator serwisu napiwków na Telegramie BitTipBot, publicznie oświadczył, że atakujący utworzyli nowe konta na jego instancji i wypłacili 2 285 545 satoshi (około 0,0229 BTC) między około 09:22 a 14:00 UTC 8 listopada.

Zgodnie z oficjalnymi wytycznymi aktualizacji opublikowanymi wraz z wydaniem wszystkie wersje starsze niż 1.7.0 są dotknięte problemem, a „środki działające na starszych wersjach LNbits ryzykują kradzież”. Projekt oświadczył, że 1.7.0 zawiera poprawki bezpieczeństwa reagujące na incydent wykryty 8 listopada i że pełny raport techniczny dotyczący luki wkrótce nastąpi. Ponieważ LNbits udostępnia konta wielu użytkowników i rozszerzenia na jednym źródle finansowania, znaczenie aktualizacji wykracza poza poszczególnych operatorów i obejmuje użytkowników niezałatanych instancji — samodzielnie hostowanych czy zarządzanych — których saldo zależy od działającego pod spodem oprogramowania.

Operatorom podejrzewającym kompromitację zaleca się postawienie świeżego serwera, ponieważ sama aktualizacja nie może usunąć dostępu, który atakujący mógł już uzyskać. Dodatkowe kroki naprawcze obejmują rotację wszystkich kluczy portfeli użytkowników jako Super Admin, wymianę poświadczeń źródła finansowania (kluczy API lub macaroons), rotację innych sekretów przechowywanych w ustawieniach oraz przegląd lub ponowne utworzenie połączeń dla rozszerzeń takich jak NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat i FOSSA.

Notka wydania na GitHubie opisuje rozległe wzmocnienia bezpieczeństwa w zakresie uwierzytelniania, zarządzania rozszerzeniami i obsługi płatności, a także aktualizacje zależności. Wersja wprowadza również nowe funkcje, w tym obsługę portfela on-chain, płatności ofert BOLT12, dwuskładnikowe uwierzytelnianie TOTP, obsługę NIP-17, harmonogram zadań, automatyczne aktualizacje rozszerzeń oraz obsługę faktur hold dla źródła finansowania LNbits.

Projekt przypomina operatorom, że LNbits działa jako portfel hot wallet: online powinny pozostawać wyłącznie salda operacyjne, aktywność powinna być regularnie przeglądana, a nadwyżki środków przenoszone na klucze offline — to standardowa praktyka dla każdego serwisu Lightning przechowującego środki online.

LNbits został założony w 2019 roku przez Bena Arc jako darmowy projekt open source, a później utworzył podmiot komercyjny w celu wsparcia rozwoju. Oprogramowanie zapewnia konta wielu użytkowników i bogaty zestaw rozszerzeń na dowolnym źródle finansowania Lightning, w tym LND i Core Lightning. Bitcoin Magazine scharakteryzował projekt we wrześniu 2024 roku, opisując go jako „WordPress dla Twojego węzła Bitcoin Lightning” i wskazując jego powszechne wykorzystanie przez osoby prywatne, firmy i operatorów węzłów poszukujących dostępnych narzędzi Lightning. Oprogramowanie jest szeroko wdrażane zarówno samodzielnie hostowane, jak i poprzez instancje zarządzane.

Na moment ogłoszenia wersji v1.7.0 projekt nie opublikował łącznej sumy utraconych środków ze wszystkich dotkniętych instancji, a zapowiadany raport techniczny dotyczący luki jeszcze się nie pojawił — dwa wątki, które ukształtują pełny obraz incydentu. Operatorzy, którzy jeszcze nie dokonali aktualizacji, są kierowani do oficjalnych wytycznych przed ponownym uruchomieniem serwerów.

Ten tekst, LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds, po raz pierwszy pojawił się w Bitcoin Magazine, a jego autorem jest Juan Galt.