LNbits — платформа для запуска биткоин-кошельков Lightning и платёжных приложений — призвала пользователей немедленно обновиться до последней версии после волны атак на инстансы LNbits, в результате которых были похищены средства.

Проект опубликовал версию 1.7.0 во вторник, назвав её критическим релизом, устраняющим уязвимости и усиливающим аутентификацию, управление расширениями и обработку платежей. Однако LNbits предупредила, что одно лишь обновление не защитит инсталляции, учётные данные которых уже скомпрометированы.

«Последние несколько дней были очень непростыми: мы неустанно работали над выпуском v1.7 после того, как наши пользователи и мы сами понесли потери», — сказал создатель LNbits Бен Арк на X.

Что делает LNbits

LNbits предоставляет программное обеспечение для запуска биткоин-кошельков Lightning и платёжных приложений, включая приём платежей для мерчантов, сервисы чаевых и пейволлы. В мае Арк заявил, что около 200 000 человек используют это ПО самостоятельно. Эта цифра описывает операторов, запускающих ПО на собственной инфраструктуре, что делает обновление и ротацию учётных данных задачей каждого инстанса в отдельности — и объясняет, почему релиз сопровождался подробными рекомендациями по очистке существующих инсталляций.

Как развивались события

В воскресенье LNbits впервые предупредила операторов о необходимости отключить расширение Paywall, пока проект расследовал потенциальную уязвимость. Чуть более часа спустя проект призвал пользователей немедленно отключить свои серверы LNbits, сославшись на волну атак, а также отключил собственные хостинговые инсталляции.

В объявлении, сопровождающем экстренный патч, который вышел через два дня после первого предупреждения, LNbits сообщила, что уязвимость затрагивает все версии до 1.7.0 и подвергает средства риску хищения — то есть любое развёртывание на более раннем релизе остаётся уязвимым до обновления. Проект пока не раскрыл подробностей эксплойта и не сообщил, сколько операторов пострадало.

Шаги для операторов

LNbits предупредила, что учётные данные, раскрытые до обновления, могут по-прежнему давать злоумышленникам доступ и после него. Проект призвал операторов сбросить ключи кошельков, заменить учётные данные источников финансирования и считать секреты, хранящиеся в настройках LNbits, скомпрометированными, а также рекомендовал перейти на новый сервер, если подозревается компрометация.

Один из пользователей, Кевин Рэйвенсберг, сообщил, что злоумышленники воспользовались его инстансом LNbits и вывели около 2,3 млн сатоши, или 0,023 BTC, через недавно созданные аккаунты, прежде чем он успел отключить сервер.

LNbits сообщила, что отдельный отчёт с подробностями эксплойта последует позднее. Cointelegraph обратился к Бену Арку и LNbits за комментариями (оригинальный репортаж).