LNbits выпустила срочное обновление безопасности 1.7.0 после атак 8 ноября

LNbits — платформа с открытым исходным кодом для кошельков и аккаунтов Lightning — 10 ноября выпустила версию 1.7.0 в качестве срочного обновления безопасности и призвала всех операторов установить патч до повторного запуска серверов. Официальный аккаунт проекта в X назвал релиз "ОБНОВЛЕНИЕМ БЕЗОПАСНОСТИ" и направил операторов к примечаниям к релизу на GitHub с полным списком изменений.

Основанный в 2019 году Беном Арком как бесплатный проект с открытым исходным кодом, LNbits предоставляет мультипользовательские аккаунты и обширный набор расширений поверх любого источника финансирования Lightning, включая LND и Core Lightning. Он разворачивается как в виде самостоятельной установки, так и через управляемые инстансы.

Атаки начались 8 ноября

Хронология инцидента началась в выходные. 8 ноября проект публично призвал пользователей немедленно остановить серверы, заявив, что предпочитает перестраховаться, пока готовятся патчи безопасности. LNbits также отключила все инстансы на собственном хостинговом сервисе.

Операторы сообщали о создании несанкционированных аккаунтов с последующим выводом средств с балансов пользователей. Кевин Рэйвенсберг, владелец Telegram-сервиса чаевых BitTipBot, сообщил, что злоумышленники открыли новые аккаунты на его инстансе и вывели 2 285 545 сатоши — примерно 0,0229 Bitcoin (BTC) — в период с 09:22 до 14:00 UTC 8 ноября.

Согласно официальному руководству по обновлению, опубликованному вместе с релизом, уязвимы все версии до 1.7.0, а средства на предыдущих сборках находятся под угрозой кражи. Команда подтвердила, что 1.7.0 содержит исправления в ответ на инцидент, обнаруженный 8 ноября, и заявила, что впоследствии будет опубликован полный технический отчёт об уязвимости. В объявлении уязвимость не называется, а совокупный объём потерь по затронутым инстансам не опубликован.

Ротация ключей и пересоздание скомпрометированных серверов

Установка патча и восстановление после компрометации — разные задачи. LNbits предупредила, что обновление не отзывает автоматически доступ, который злоумышленник мог уже получить, поэтому обновлённый сервер может оставаться небезопасным, если он был затронут в период атаки. Рекомендации предписывают операторам, подозревающим взлом, сначала сохранить логи и записи, а затем развернуть новый сервер с 1.7.0, не доверяя старой машине. Сохранение этих записей важно для последующего расследования, так как обещанный технический отчёт будет опираться на доказательства вектора атаки.

С нового сервера суперадминистратор должен выполнить ротацию приватного ключа каждого пользовательского кошелька, что делает старый ключ недействительным, а все подключённые приложения необходимо обновить с новым ключом. Учётные данные источников финансирования, такие как API-ключи или макароны, нужно отозвать и перевыпустить в источнике, а прочие секреты, хранящиеся в настройках сервера, также следует заменить. Существующие подключения расширений — включая NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat и FOSSA — необходимо демонтировать и пересоздать с новыми учётными данными.

Что меняет версия 1.7.0

В примечаниях к релизу описано укрепление аутентификации, управления расширениями и обработки платежей, а также обновления зависимостей, однако конкретное изменение, закрывающее вектор атаки, пока не раскрыто. Версия 1.7.0 также добавляет новые функции: поддержку ончейн-кошельков, платежи BOLT12 offer, двухфакторную аутентификацию TOTP, поддержку NIP-17, планировщик задач, автоматическое обновление расширений и поддержку hold invoice для источника финансирования LNbits.

В журнале инцидентов SlowMist та же цифра в 2 285 545 сатоши указана как случай потери на одном инстансе, а в объявлении не утверждается о какой-либо компрометации сети Bitcoin или самого протокола Lightning. Подтверждённый ущерб пока касается серверов операторов, а не уровня протокола.

По данным COINOTAG, нераскрытая первопричина — самый острый аспект этой истории. LNbits по своей архитектуре является горячим кошельком, и официальные рекомендации предписывают операторам держать онлайн только операционные балансы, перемещая излишки на офлайн-ключи. Пока обещанный технический отчёт не назовёт вектор атаки, каждый необновлённый или только что обновлённый инстанс следует рассматривать как потенциальную цель — именно поэтому патч сопровождается полной процедурой ротации учётных данных.

Первоначальный отчёт опубликован COINOTAG.