Платформа биткоин-кошельков Lightning Network LNbits выпустила экстренное обновление безопасности после серии атак, в результате которых, по имеющимся данным, были украдены средства. Проект призвал операторов немедленно обновиться, предупредив, что старые версии программного обеспечения оставляют биткоин-кошельки уязвимыми для возможной кражи.

Версия 1.7.0, выпущенная 10 ноября, содержит исправления критических уязвимостей и более надежные средства защиты. Тем не менее разработчики предупредили, что само по себе обновление может не защитить системы, в которых злоумышленники уже получили доступ к конфиденциальным учетным данным.

LNbits предупреждает операторов на фоне продолжающихся атак

LNbits разрабатывает программное обеспечение, позволяющее компаниям и частным лицам запускать биткоин-кошельки Lightning и платежные приложения, поддерживая такие сценарии, как прием платежей от merchants, платформы чаевых, системы подписок и цифровые пейволлы.

Об инциденте стало известно 8 ноября, когда LNbits предупредила операторов о возможной уязвимости в расширении Paywall. Поскольку атаки продолжались, проект затем срочно призвал пользователей немедленно отключить свои серверы. Хостинговые установки также были временно приостановлены, чтобы ограничить потенциальное воздействие.

Создатель проекта Бен Арк впоследствии подтвердил, что пользователи и разработчики понесли финансовые потери в ходе инцидента. Согласно рекомендациям LNbits по безопасности, уязвимы все версии, выпущенные до 1.7.0. Разработчики не раскрыли точный механизм атаки, а общий финансовый ущерб пока не подтвержден.

Сообщения о краже биткоинов привлекли внимание

Кевин Равенсберг, оператор, пострадавший от инцидента, сообщил о потере примерно 2,3 млн сатоши, что эквивалентно около 0,023 BTC. По его словам, злоумышленники создали несанкционированные аккаунты и вывели средства до того, как он успел отключить свой сервер.

О потери подчеркивает риски безопасности, связанные с самостоятельно размещенной криптоплатежной инфраструктурой, где ответственность за защиту серверов, управление ключами и обращение с учетными данными несут сами операторы, а не центральный провайдер. Хотя транзакции Lightning Network обеспечивают быстрые биткоин-платежи, скомпрометированное кошельковое ПО может привести к несанкционированному выводу средств.

Одного патча недостаточно, предупреждают операторов

Последний патч безопасности LNbits усиливает аутентификацию, управление расширениями и обработку платежей. Версия 1.7.0 также вводит дополнительные меры защиты, включая двухфакторную аутентификацию и улучшенные функции управления кошельками.

Тем не менее LNbits предупредила, что ранее скомпрометированные учетные данные могут оставаться пригодными даже после установки обновления. В отличие от программных уязвимостей, которые закрываются обновлением, украденные учетные данные не перестают действовать после обновления сервера. Поэтому операторам необходимо сбросить ключи кошельков, заменить учетные данные источников финансирования и отозвать все права доступа, которые могли быть скомпрометированы. Проект также рекомендует заменить конфиденциальную информацию, хранящуюся в настройках приложения.

Операторам, подозревающим компрометацию своих серверов, следует рассмотреть развертывание новых установок, а не полагаться исключительно на обновление ПО.

LNbits планирует опубликовать подробный технический отчет с объяснением уязвимости и атак. До этого полный масштаб потерь остается неизвестным, и операторы сосредоточены на защите своих биткоин-платежных систем Lightning. Ожидаемый отчет — как и новости о возобновлении работы приостановленных хостинговых установок — станет следующим важным событием.