Platforma portfeli Bitcoin Lightning LNbits wydała wersję 1.7.0, pilną aktualizację bezpieczeństwa wprowadzoną po poważnym incydencie bezpieczeństwa, który wymusił ostrzegawcze komunikaty o wyłączeniu usługi dla użytkowników. Według projektu wydanie stanowi krytyczny pakiet bezpieczeństwa obejmujący luki, uwierzytelnianie, przetwarzanie płatności oraz zarządzanie rozszerzeniami, a operatorów wzywa się do jak najszybszego działania. Wszyscy użytkownicy LNbits zostali wezwani do pilnej aktualizacji do wersji v1.7.0.

LNbits to darmowe oprogramowanie typu open source działające na backendach węzłów sieci Lightning, takich jak LND i Core Lightning, zapewniające zarządzanie kontami i portfelami dla operatorów i ich użytkowników. Platformę można rozszerzać modułami wtyczek, w tym rozszerzeniem Paywall, które odegrało rolę w zdarzeniach poprzedzających aktualizację. Ponieważ każda instancja LNbits zarządza portfelami w imieniu wielu użytkowników, błąd w oprogramowaniu może przekładać się bezpośrednio na straty osób posiadających na niej salda — dlatego wezwanie do aktualizacji dotyczy każdego wdrożenia.

LNbits nakazuje awaryjną aktualizację po zgłoszonych stratach

Aktualizacja nastąpiła po ostrzeżeniu wydanym przez LNbits 8 listopada, gdy zespół nakazał operatorom wyłączenie serwerów w związku z falą ataków. Wcześniej tego samego dnia zespół poprosił użytkowników o wyłączenie rozszerzenia Paywall, aby móc zbadać możliwą lukę. Około dwudniowy odstęp między tymi ostrzeżeniami a wydaniem z poprawkami pokazuje, jak szybko operatorzy publicznie dostępnej infrastruktury portfelowej muszą działać, gdy luka staje się celem ataku.

Ben Arc, twórca LNbits, przyznał później, że straty poniosły zarówno użytkownicy, jak i projekt, a dni poprzedzające wydanie v1.7.0 były szczególnie trudne.

Projekt ogłosił wydanie w poście na X z 10 listopada:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Co najmniej jeden operator publicznie zgłosił utratę około 2,29 miliona satoshi — około 0,023 BTC — po zarejestrowaniu nieuprawnionych użytkowników na instancji LNbits i wypłacie środków. Projekt nie opublikował jeszcze pełnego zestawienia strat poniesionych przez wszystkich poszkodowanych operatorów.

Sama aktualizacja może nie wystarczyć

LNbits ostrzega, że sama aktualizacja może nie chronić każdego operatora. Według projektu zagrożony jest operator, którego poświadczenia mogły zostać już przejęte, i zawsze istnieje możliwość, że klucze portfela, poświadczenia niezbędne do generowania środków lub inne sekrety pozostaną ważne nawet po załataniu oprogramowania portfela. Użytkownicy, którzy podejrzewają, że ich instancja została skompromitowana, powinni zmienić poświadczenia i mogą rozważyć przebudowę instancji na nowym serwerze. Ta rada odzwierciedla rzeczywistość znaną z otwartego oprogramowania finansowego: zamknięcie luki w kodzie zatrzymuje nowe ataki, ale samo w sobie nie unieważnia sekretów, które mogły zostać już ujawnione.

To rozróżnienie jest istotne, ponieważ problem nie leży w Bitcoinie ani w protokole sieci Lightning, lecz we wdrożeniach oprogramowania LNbits.

v1.7.0 dodaje 2FA, BOLT12 i obsługę portfela on-chain

Poza poprawkami bezpieczeństwa v1.7.0 to znaczące wydanie funkcjonalne. Informacje o wydaniu na GitHubie opisują nowe funkcje, w tym dwuskładnikowe uwierzytelnianie TOTP, obsługę portfela on-chain, płatności ofert BOLT12, obsługę NIP-17, harmonogram zadań i automatyczne aktualizacje rozszerzeń. Wśród nich wyróżnia się dwuskładnikowe uwierzytelnianie TOTP — kod oparty na czasie wymagany obok hasła — biorąc pod uwagę nacisk aktualizacji na uwierzytelnianie i dostęp do kont. Wydanie zawiera również liczne poprawki dotyczące powiadomień o płatnościach, backendów Lightning, portfeli fiat oraz rozszerzeń Wasm.

Poprawki związane z płatnościami obejmują duplikowanie przetwarzania ponowień BOLT12, obliczanie opłat w Core Lightning oraz rozliczanie opłat serwisowych przy samopłatnościach w LND. Ogłoszenie obejmuje też aktualizacje oprogramowania, przenosząc LNbits na Python 3.13 i Pydantic 2, wraz z dodatkowymi ulepszeniami bezpieczeństwa.

Dla operatorów nowe funkcje nie są jednak priorytetem. LNbits kieruje konkretne wezwanie do działania, namawiając wszystkie dotychczasowe wdrożenia do aktualizacji do v1.7.0 przed wznowieniem normalnej pracy. Informacje o wydaniu pozostają ostatecznym źródłem dla tego procesu, a każde kolejne zestawienie strat opublikowane przez projekt będzie liczbą, na którą warto zwrócić uwagę, gdy społeczność ocenia skutki incydentu.

Źródło: CryptoNinjas