Платформа кошельков Bitcoin Lightning LNbits выпустила версию 1.7.0 — срочное обновление безопасности, выпущенное после крупного инцидента безопасности, который потребовал предупредительных уведомлений об остановке работы для пользователей. По словам проекта, релиз представляет собой критический пакет безопасности, устраняющий уязвимости, вопросы аутентификации, обработки платежей и управления расширениями, и операторов призывают действовать как можно скорее. Всем пользователям LNbits рекомендуется обновиться до v1.7.0 в срочном порядке.

LNbits — это бесплатное программное обеспечение с открытым исходным кодом, работающее поверх бэкендов узлов Lightning Network, таких как LND и Core Lightning, и обеспечивающее управление аккаунтами и кошельками для операторов и их пользователей. Платформу можно расширять с помощью подключаемых модулей, включая расширение Paywall, которое фигурировало в событиях, предшествовавших обновлению. Поскольку каждый инстанс LNbits управляет кошельками от имени множества пользователей, уязвимость в ПО может напрямую привести к потерям для держателей балансов — именно поэтому призыв проекта к обновлению адресован каждому развертыванию.

LNbits призывает к экстренному обновлению после сообщений о потерях

Обновление последовало за предупреждением, выпущенным LNbits 8 ноября, когда команда призвала операторов отключить свои серверы на фоне всплеска атак. Ранее в тот же день команда попросила пользователей отключить расширение Paywall, чтобы можно было исследовать возможную уязвимость. Промежуток примерно в два дня между этими предупреждениями и выпуском исправленной версии показывает, насколько быстро операторам общедоступной инфраструктуры кошельков приходится действовать, когда уязвимость оказывается под атакой.

Создатель LNbits Бен Арк (Ben Arc) позже признал, что потери понесли как пользователи, так и проект, и что дни до выхода v1.7.0 были особенно тяжелыми.

Проект анонсировал релиз в публикации в X 10 ноября:

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

Как минимум один оператор публично сообщил о потере примерно 2,29 млн сатоши — около 0,023 BTC — после того, как на инстансе LNbits были зарегистрированы несанкционированные пользователи и средства были выведены. Проект пока не опубликовал полную сводку потерь, понесенных всеми затронутыми операторами.

Одного обновления может быть недостаточно

LNbits предупредила, что одного обновления может быть недостаточно для защиты каждого оператора. По словам проекта, оператор в зоне риска — это тот, чьи учетные данные, возможно, уже скомпрометированы, и всегда существует вероятность, что ключи кошелька, учетные данные для пополнения или другие секреты остаются действительными даже после установки исправления. Пользователям, которые считают, что их инстанс был скомпрометирован, следует сменить учетные данные и, возможно, пересоздать инстанс на новом сервере. Этот совет отражает реальность, знакомую финансовому ПО с открытым исходным кодом: закрытие уязвимости в коде прекращает новую эксплуатацию, но само по себе не нейтрализует секреты, которые могли быть уже раскрыты.

Это разграничение существенно, поскольку проблема не в Bitcoin или протоколе Lightning Network, а в развертываниях ПО LNbits.

v1.7.0 добавляет 2FA, BOLT12 и поддержку ончейн-кошельков

Помимо исправлений безопасности, v1.7.0 — это масштабный функциональный релиз. Примечания к релизу на GitHub описывают новые функции, включая двухфакторную аутентификацию TOTP, поддержку ончейн-кошельков, платежи BOLT12 offers, поддержку NIP-17, планировщик задач и автоматические обновления расширений. Среди них выделяется двухфакторная аутентификация TOTP — основанный на времени код, требуемый вместе с паролем, — учитывая акцент обновления на аутентификации и доступе к аккаунтам. Релиз также содержит многочисленные исправления для уведомлений о платежах, бэкендов Lightning, фиатных кошельков и Wasm-расширений.

Платежные исправления касаются дублирующей обработки повторов BOLT12, расчета комиссий в Core Lightning и учета сервисных комиссий для self-payments в LND. Анонс также охватывает обновления ПО: перевод LNbits на Python 3.13 и Pydantic 2, а также дополнительные улучшения безопасности.

Для операторов, однако, новые функции не являются главным приоритетом. LNbits делает конкретный призыв к действию, настоятельно рекомендуя всем текущим развертываниям обновиться до v1.7.0 до возобновления нормальной работы. Примечания к релизу остаются основным руководством по этому процессу, а любая дальнейшая сводка потерь от проекта станет показателем, за которым стоит следить, пока сообщество оценивает последствия.

Источник: CryptoNinjas