Platforma portfeli Bitcoin Lightning LNbits wezwała użytkowników do natychmiastowej aktualizacji do najnowszej wersji po zgłoszeniu fali ataków na instancje LNbits, które zakończyły się kradzieżą środków.

Projekt opublikował wersję 1.7.0 we wtorek, dwa dni po pierwszych publicznych ostrzeżeniach, opisując ją jako krytyczne wydanie, które usuwa luki i wzmacnia uwierzytelnianie, zarządzanie rozszerzeniami oraz obsługę płatności. LNbits ostrzegł jednak, że sama aktualizacja nie ochroni instalacji, których dane uwierzytelniające zostały już skompromitowane.

„To były bardzo trudne dni, pracowaliśmy bez ustanku, aby wydać wersję v1.7, po tym jak my i nasi użytkownicy ponieśliśmy straty” — powiedział twórca LNbits Ben Arc w poście na X, który został również udostępniony na Nostr.

LNbits dostarcza oprogramowanie do prowadzenia portfeli Bitcoin Lightning — opartych na Lightning Network, warstwie Bitcoin do szybkich i tanich płatności — a także aplikacje płatnicze, w tym kasy merchantskie, usługi napiwków i paywalle. Ponieważ LNbits jest zaprojektowany do uruchamiania na własnych serwerach operatorów, bezpieczeństwo każdej instalacji zależy od osoby, która ją prowadzi. Arc powiedział w maju, że około 200 000 osób uruchamia to oprogramowanie samodzielnie.

LNbits po raz pierwszy ostrzegł operatorów w niedzielę, aby wyłączyli rozszerzenie Paywall, podczas gdy badał potencjalną lukę. Nieco ponad godzinę później projekt wezwał użytkowników do natychmiastowego wyłączenia swoich serwerów LNbits, powołując się na falę ataków, i sam wyłączył swoje hostowane instalacje.

W ogłoszeniu towarzyszącym awaryjnej łatce LNbits stwierdził, że luka dotyczy wszystkich wersji sprzed 1.7.0 i naraża środki na ryzyko kradzieży. Firma nie podała jeszcze szczegółów exploitu ani ilu operatorów zostało dotkniętych, i oświadczyła, że osobny raport opisujący szczegóły exploitu nastąpi później. Do czasu publikacji tego raportu ogólna skala strat w samodzielnie prowadzonych instancjach pozostaje nieujawniona.

LNbits ostrzegł również, że dane uwierzytelniające ujawnione przed aktualizacją mogą nadal dawać atakującym dostęp po jej przeprowadzeniu. Wezwał operatorów do zresetowania kluczy portfeli, wymiany danych uwierzytelniających źródeł finansowania i uznania sekretów przechowywanych w ustawieniach LNbits za skompromitowane, a także zalecił przeniesienie się na nowy serwer w przypadku podejrzenia kompromitacji.

Jeden z użytkowników, Kevin Ravensberg, powiedział, że atakujący wykorzystali jego instancję LNbits i wypłacili około 2,3 miliona satoshi, czyli 0,023 Bitcoin, przez nowo utworzone konta, zanim zdążył wyłączyć serwer.

Cointelegraph zwrócił się do Bena Arca i LNbits o komentarz.