LNbits призывает всех операторов серверов отключить их после волн атак

LNbits — платформа с открытым исходным кодом для Lightning-кошельков и аккаунтов — 8 ноября призвала всех операторов немедленно остановить свои серверы после того, что проект назвал «волной атак»; патчи безопасности всё ещё готовятся.

«Все пользователи LNbits должны НЕМЕДЛЕННО остановить свои серверы LNbits», — написал проект в X в 8:56 по восточному времени в воскресенье. «После волны атак нам предстоит выпустить ряд патчей безопасности».

Позднее проект сообщил, что в качестве меры предосторожности отключил все инстансы на своём управляемом хостинге my.lnbits.com и что сервисы возобновят работу в течение 24 часов.

Это программное обеспечение позволяет операторам создавать кошельки и платёжные приложения поверх подключённого источника финансирования; в документации перечислены бэкенды, включая LND и Core Lightning. Команда об отключении касалась только серверов LNbits, а не каждой ноды сети Lightning. Иными словами, приказ затрагивал уровень приложений, работающих поверх Lightning-ноды, а не сами бэкенды нод. И поскольку инстанс LNbits может хранить балансы людей, пользующихся кошельковыми приложениями оператора без собственной инфраструктуры, уязвимость на этом уровне может подвергнуть риску средства конечных пользователей, а не только того, кто развернул сервер.

От предупреждения о Paywall до полного отключения

Полному приказу об остановке серверов предшествовало более раннее предупреждение LNbits, в котором операторов просили немедленно отключить расширение Paywall, пока разработчики изучали потенциальную уязвимость. Последующая инструкция охватывала все серверы LNbits, а не только установки с этим расширением.

Уведомление об отключении не указало уязвимые версии, не объяснило вектор атаки и не назвало общий объём потерь. Не имея диапазона версий для проверки, операторы не могли по одному лишь объявлению определить, затронута ли их установка. Уведомление также не освободило от приказа об отключении ни одну конфигурацию источника финансирования.

Оператор сообщает о выводе средств с инстанса

В своём отчёте из первых рук в X оператор Кевин Рэйвенсберг сообщил, что около 2,29 миллиона сатоши — примерно 0,0229 BTC — были выведены с его инстанса LNbits только что созданными аккаунтами, прежде чем он успел остановить сервер. Он пообещал полностью возместить потери пользователям BitTipBot, но отметил, что доступ к средствам будет невозможен, пока LNbits не устранит уязвимости.

Его случай показывает, как атака на один инстанс может затронуть людей, никогда не управлявших сервером: в данном случае пострадавшие балансы принадлежали пользователям сервиса, построенного на его развёртывании.

Патчи всё ещё не выпущены

На момент публикации на странице релизов проекта на GitHub последней версией по-прежнему значилась v1.6.2 — хотфикс резервного копирования PostgreSQL, выпущенный 18 сентября; релиза, устраняющего атаки в воскресенье, в списке не было.

Контрибьютор LNbits Бен Арк заявил, что патчи «должны быть смержены и доступны в течение 24–48 часов».

Пока такой релиз не появится, у операторов нет пропатченной версии для обновления, и на момент публикации команда об остановке серверов оставалась в силе. Конкретные ориентиры, за которыми стоит следить: страница релизов GitHub на предмет чего-либо новее v1.6.2, заявленное 24-часовое окно возобновления работы my.lnbits.com и аккаунт проекта в X для обновлённого подтверждения безопасности.