LNbits — платформа с открытым исходным кодом для кошельков и аккаунтов Lightning Network — 10 ноября выпустила версию 1.7.0 в качестве срочного обновления безопасности, потребовав от всех операторов выполнить обновление перед перезапуском серверов. Официальный аккаунт проекта в X анонсировал релиз со ссылкой на релиз на GitHub, обозначив его как «SECURITY UPDATE» (обновление безопасности).

Патчок является ответом на волну атак, начавшуюся в выходные. 8 ноября LNbits сообщила в X, что все пользователи должны немедленно остановить свои серверы LNbits после сообщения об активных атаках, добавив, что патчи безопасности готовятся и что «лучше перестраховаться». Проект также отключил инстансы на своём хостинговом сервисе.

Множество сообщений документировали несанкционированное создание аккаунтов и вывод средств. Кевин Равенсберг, оператор Telegram-сервиса чаевых BitTipBot, публично заявил, что злоумышленники создали новые аккаунты на его инстансе и вывели 2 285 545 сатоши (примерно 0,0229 BTC) в период примерно с 09:22 до 14:00 UTC 8 ноября.

Согласно официальному руководству по обновлению, опубликованному вместе с релизом, уязвимы все версии до 1.7.0, и «средства, работающие на предыдущих версиях LNbits, находятся под угрозой хищения». Проект сообщил, что 1.7.0 содержит исправления безопасности в связи с инцидентом, обнаруженным 8 ноября, и что полный технический отчет об уязвимости последует позднее. Поскольку LNbits предоставляет многопользовательские аккаунты и расширения поверх единого источника финансирования, важность обновления выходит за рамки отдельных операторов и затрагивает пользователей непропатченных инстансов — как самостоятельно размещённых, так и управляемых, — чьи балансы зависят от работающего под ними программного обеспечения.

Операторам, подозревающим компрометацию, рекомендуется развернуть новый сервер, поскольку одно лишь обновление не может отозвать доступ, который злоумышленник мог уже получить. Дополнительные шаги по восстановлению включают ротацию всех ключей пользовательских кошельков от имени Super Admin, замену учётных данных источника финансирования (API-ключей или макарунов), ротацию других секретов, хранящихся в настройках, а также проверку или пересоздание подключений для расширений, таких как NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat и FOSSA.

Примечания к релизу на GitHub описывают масштабное усиление безопасности в области аутентификации, управления расширениями и обработки платежей, а также обновления зависимостей. Версия также включает новые функции: поддержку ончейн-кошелька, платежи по BOLT12-офферам, двухфакторную аутентификацию TOTP, поддержку NIP-17, планировщик задач, автоматическое обновление расширений и поддержку hold-инвойсов для источника финансирования LNbits.

Проект напоминает операторам, что LNbits функционирует как хот-кошелек: онлайн следует держать только операционные балансы, регулярно проверять активность и перемещать избыточные средства на офлайн-ключи — стандартная практика для любого Lightning-сервиса, хранящего средства онлайн.

LNbits была основана в 2019 году Беном Арком как бесплатный проект с открытым исходным кодом, а позднее создала коммерческую структуру для поддержки разработки. Программное обеспечение предоставляет многопользовательские аккаунты и большой набор расширений поверх любого источника финансирования Lightning, включая LND и Core Lightning. Bitcoin Magazine рассказал о проекте в сентябре 2024 года, назвав его «WordPress для вашего Bitcoin Lightning-узла» и отметив широкое использование частными лицами, компаниями и операторами узлов, ищущими доступные инструменты Lightning. Он широко развёрнут как в самостоятельно размещённом виде, так и через управляемые инстансы.

На момент анонса v1.7.0 проект не опубликовал общую сумму средств, потерянных на всех затронутых инстансах, а обещанный технический отчет об уязвимости ещё не появился — два момента, которые определят полную картину инцидента. Операторам, ещё не выполнившим обновление, рекомендуется обратиться к официальному руководству перед повторным запуском серверов.

Этот материал, LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds, впервые появился на Bitcoin Magazine; автор — Juan Galt.