Платформа биткойн-кошельков Lightning Network LNbits призвала пользователей немедленно обновиться до последней версии после сообщения о волне атак на инстансы LNbits, в результате которых были украдены средства.

Проект опубликовал версию 1.7.0 во вторник, через два дня после первых публичных предупреждений, назвав её критически важным релизом, устраняющим уязвимости и усиливающим аутентификацию, управление расширениями и обработку платежей. Однако LNbits предупредила, что одно лишь обновление не защитит инсталляции, учётные данные которых уже были скомпрометированы.

«Последние дни были очень непростыми — мы неустанно работали над выпуском v1.7 после того, как наши пользователи и мы сами понесли потери», — сказал создатель LNbits Бен Арк в посте на X, который также был опубликован в Nostr.

LNbits предоставляет программное обеспечение для запуска биткойн-кошельков Lightning — построенных на Lightning Network, уровне Bitcoin для быстрых и недорогих платежей, — а также платёжные приложения, включаяMerchant-эквайринг, сервисы чаевых и пейволлы. Поскольку LNbits рассчитана на запуск на собственных серверах операторов, безопасность каждой инсталляции зависит от конкретного человека, который её обслуживает. В мае Арк заявил, что около 200 000 человек используют это программное обеспечение самостоятельно.

LNbits впервые предупредила операторов в воскресенье о необходимости отключить расширение Paywall, пока шло расследование потенциальной уязвимости. Чуть более часа спустя проект призвал пользователей немедленно отключить свои серверы LNbits, сославшись на волну атак, и сам отключил свои хостинговые инсталляции.

В объявлении, сопровождающем экстренный патч, LNbits сообщила, что уязвимость затрагивает все версии до 1.7.0 и подвергает средства риску кражи. Компания пока не раскрыла подробности эксплойта и число пострадавших операторов, а также сообщила, что отдельный отчёт с деталями эксплойта последует позднее. До выхода этого отчёта общий масштаб потерь по самостоятельно размещённым инстансам остаётся нераскрытым.

LNbits также предупредила, что учётные данные, раскрытые до обновления, могли по-прежнему давать злоумышленникам доступ после него. Компания призвала операторов сбросить ключи кошельков, заменить учётные данные источников финансирования и считать секреты, хранящиеся в настройках LNbits, скомпрометированными, а при подозрении на компрометацию — перейти на новый сервер.

Один из пользователей, Кевин Равенсберг, сообщил, что злоумышленники воспользовались уязвимостью его инстанса LNbits и вывели около 2,3 млн сатоши, или 0,023 Bitcoin, через только что созданные учётные записи, прежде чем он успел отключить сервер.

Cointelegraph обратился к Бену Арку и LNbits за комментариями.