LNbits, platforma do obsługi portfeli Bitcoin Lightning i aplikacji płatniczych, wezwała użytkowników do natychmiastowej aktualizacji do najnowszej wersji po fali ataków na instancje LNbits, które zakończyły się kradzieżą środków.

Projekt opublikował wersję 1.7.0 we wtorek, opisując ją jako krytyczne wydanie naprawiające luki bezpieczeństwa oraz wzmacniające uwierzytelnianie, zarządzanie rozszerzeniami i obsługę płatności. LNbits zastrzegł jednak, że sama aktualizacja nie ochroni instalacji, których dane uwierzytelniające zostały już przejęte.

„To były bardzo trudne dni, niestrudzenie pracowaliśmy nad wydaniem v1.7 po tym, jak nas użytkownicy i my sami ponieśliśmy straty” — powiedział twórca LNbits Ben Arc na X.

Czym jest LNbits

LNbits dostarcza oprogramowanie do prowadzenia portfeli Bitcoin Lightning i aplikacji płatniczych, w tym płatności dla handlowców, usług napiwkowych i paywalli. Arc powiedział w maju, że oprogramowanie samodzielnie prowadzi około 200 000 osób. Ta liczba opisuje operatorów uruchamiających oprogramowanie na własnej infrastrukturze, co sprawia, że aktualizacja i rotacja danych uwierzytelniających są zadaniem do wykonania na każdej instancji osobno — i wyjaśnia, dlaczego wydaniu towarzyszyły szczegółowe wytyczne dotyczące czyszczenia istniejących instalacji.

Jak przebiegało zdarzenie

LNbits po raz pierwszy ostrzegł operatorów w niedzielę, aby wyłączyli rozszerzenie Paywall, podczas gdy projekt badał potencjalną lukę bezpieczeństwa. Niecałe dwie godziny później projekt wezwał użytkowników do natychmiastowego wyłączenia serwerów LNbits, powołując się na falę ataków, a także wyłączył własne instancje hostowane.

W ogłoszeniu towarzyszącym awaryjnej łatce, która ukazała się dwa dni po pierwszym ostrzeżeniu, LNbits podał, że luka dotyczy wszystkich wersji starszych niż 1.7.0 i naraża środki na kradzież — co oznacza, że każde wdrożenie pozostające na wcześniejszej wersji pozostaje zagrożone do czasu aktualizacji. Projekt nie podał jeszcze szczegółów eksploita ani liczby dotkniętych operatorów.

Kroki dla operatorów

LNbits ostrzegł, że dane uwierzytelniające ujawnione przed aktualizacją mogą nadal dawać atakującym dostęp po jej wykonaniu. Wezwał operatorów do zresetowania kluczy portfeli, wymiany danych uwierzytelniających źródła finansowania oraz uznania sekretów przechowywanych w ustawieniach LNbits za przejęte, a także zalecił przeniesienie się na nowy serwer w przypadku podejrzenia naruszenia bezpieczeństwa.

Jeden z użytkowników, Kevin Ravensberg, powiedział, że atakujący wykorzystali jego instancję LNbits, wypłacając około 2,3 miliona satoshi, czyli 0,023 Bitcoin, przez nowo utworzone konta, zanim zdążył wyłączyć serwer.

LNbits poinformował, że osobny raport szczegółowo opisujący exploit zostanie opublikowany wkrótce. Cointelegraph zwrócił się do Bena Arca i LNbits o komentarz (oryginalny reportaż).