LNbits wzywa wszystkich operatorów serwerów do wyłączenia serwerów po serii ataków

LNbits, otwartoźródłowa platforma portfeli i kont Lightning, nakazała wszystkim operatorom natychmiastowe zatrzymanie serwerów 8 listopada po tym, co określiła jako "falę ataków", przy czym poprawki bezpieczeństwa nie były jeszcze dostępne.

"Wszyscy użytkownicy LNbits powinni NATYCHMIAST zatrzymać swoje serwery LNbits" — opublikował projekt na X w niedzielę o 8:56 czasu wschodnioamerykańskiego. "Po fali ataków mamy do wypuszczenia szereg poprawek bezpieczeństwa."

Projekt poinformował później, że profilaktycznie wyłączył wszystkie instancje w swojej usłudze hostingu zarządzanego, my.lnbits.com, i że usługi zostaną wznowione w ciągu 24 godzin.

Oprogramowanie pozwala operatorom tworzyć portfele i aplikacje płatnicze na bazie podłączonego źródła finansowania, a dokumentacja wymienia backendy, w tym LND i Core Lightning. Nakaz wyłączenia dotyczył wyłącznie serwerów LNbits, a nie każdego węzła w sieci Lightning. Innymi słowy, nakaz obejmował warstwę aplikacji działającą na węźle Lightning, a nie same backendy węzłów. Ponieważ instancja LNbits może przechowywać salda osób korzystających z aplikacji portfelowych operatora bez prowadzenia własnej infrastruktury, luka na tej warstwie może narazić środki należące do użytkowników końcowych, a nie tylko do tego, kto wdrożył serwer.

Od ostrzeżenia o Paywall do pełnego wyłączenia

Pełny nakaz zatrzymania serwerów nastąpił po wcześniejszym ostrzeżeniu LNbits, w którym operatorów proszono o natychmiastowe wyłączenie rozszerzenia Paywall, podczas gdy deweloperzy badali potencjalny błąd. Kolejny nakaz objął wszystkie serwery LNbits, a nie tylko instalacje korzystające z tego rozszerzenia.

Ogłoszenie o wyłączeniu nie wskazało podatnych wersji, nie wyjaśniło wektora ataku ani nie podało łącznej kwoty strat. Bez zakresu wersji do porównania operatorzy nie mogli na podstawie samego ogłoszenia ustalić, czy ich instalacja została dotknięta. Ogłoszenie nie wyłączyło również żadnej konfiguracji źródła finansowania z nakazu wyłączenia serwerów.

Operator zgłasza wypłatę z instancji

W relacji naocznego świadka na X operator Kevin Ravensberg powiedział, że około 2,29 miliona satoshi — około 0,0229 BTC — zostało wypłaconych z jego instancji LNbits przez nowo utworzone konta, zanim zdążył zatrzymać serwer. Zobowiązał się do pokrycia strat użytkowników BitTipBot, ale powiedział, że nie będą mieli dostępu do środków, dopóki LNbits nie załata podatności.

Jego relacja pokazuje, jak atak na pojedynczą instancję może dotknąć osoby, które same nigdy nie prowadziły serwera: dotknięte salda należały w tym przypadku do użytkowników usługi zbudowanej na jego wdrożeniu.

Poprawki wciąż w przygotowaniu

W chwili publikacji strona wydań projektu na GitHub nadal wskazywała v1.6.2, poprawkę awaryjną kopii zapasowych PostgreSQL wydaną 18 września, jako najnowsze wydanie i nie wymieniała wydania odpowiadającego na niedzielne ataki.

Współpracownik LNbits Ben Arc powiedział, że poprawki "powinny zostać scalone i udostępnione w ciągu 24-48 godzin."

Do czasu pojawienia się takiego wydania operatorzy nie mają łatanej wersji do aktualizacji, a nakaz zatrzymania serwerów pozostawał w mocy w chwili publikacji. Konkretne sygnały, na które warto zwracać uwagę, to strona wydań GitHub dla czegokolwiek nowszego niż v1.6.2, zadeklarowane 24-godzinne okno wznowienia dla my.lnbits.com oraz konto projektu na X w poszukiwaniu aktualnego odwołania alertu.