LNbits 在11月8日攻击后发布1.7.0紧急安全更新

开源闪电网络钱包与账户平台 LNbits 于11月10日发布1.7.0版本作为紧急安全更新，要求所有运营商在服务器重新上线之前安装该补丁。项目官方 X 账户将此次发布描述为"SECURITY UPDATE"（安全更新），并引导运营商查阅 GitHub 发布说明以获取完整变更列表。

LNbits 由 Ben Arc 于2019年创立，是一个免费的开源项目，可在任何闪电网络资金源（包括 LND 和 Core Lightning）之上提供多用户账户和丰富的扩展套件。它既可以自托管部署，也可以通过托管实例使用。

攻击始于11月8日

事件时间线始于上周末。11月8日，该项目公开敦促用户立即关闭服务器，表示在安全补丁准备期间宁可谨慎行事。LNbits 同时停用了其托管服务上的所有实例。

运营商报告称，攻击者先创建了未经授权的账户，随后从用户余额中提款。运营 Telegram 打赏服务 BitTipBot 的 Kevin Ravensberg 报告称，攻击者在其实例上开设了新账户，并于11月8日大约09:22至14:00（UTC）之间提取了2,285,545聪——约合0.0229枚比特币（BTC）。

根据随发布一同公布的官方升级指引，1.7.0之前的所有版本均受影响，运行早期版本的资金面临被盗风险。团队确认1.7.0包含针对11月8日发现事件的修复，并表示将随后发布关于该漏洞利用的完整技术报告。公告并未点名该漏洞，也未公布受影响实例的累计损失总额。

轮换密钥并重建受感染的服务器

安装补丁与从入侵中恢复是两项不同的工作。LNbits 警告说，更新并不会自动撤销攻击者可能已经获得的访问权限，这意味着在攻击窗口期内被触及的服务器即使升级后仍可能不安全。官方指引要求怀疑遭遇入侵的运营商首先保留日志和记录，然后部署一台运行1.7.0的全新服务器，而不是继续信任旧机器。保留这些记录对后续取证非常重要，因为 promised 的技术报告将依据攻击路径的证据。

在新服务器上，超级管理员应轮换每个用户钱包的私钥（这将使旧密钥失效），并且每个已连接的应用都必须更新为新密钥。资金源凭据（如 API 密钥或 macaroon）需要在源头撤销并重新签发，服务器设置中存储的其他密钥也应一并轮换。现有的扩展连接——包括 NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat 和 FOSSA——必须拆除并使用新凭据重建。

1.7.0版本带来了哪些变化

发布说明描述了在身份验证、扩展管理和支付处理方面的安全加固，以及依赖项更新，但封闭攻击路径的具体变更尚未公开。1.7.0版本还引入了新功能：链上钱包支持、BOLT12 offer 支付、TOTP 双因素认证、NIP-17 支持、任务调度器、扩展自动更新，以及 LNbits 资金源的 hold invoice 支持。

慢雾（SlowMist）的事件日志将同样的2,285,545聪列为单实例损失案例，且公告未声称比特币网络或闪电网络协议本身遭到任何入侵。目前确认的损害仅涉及运营商服务器，而非协议层。

据 COINOTAG 分析，尚未披露的根本原因是此事最尖锐的焦点。LNbits 在设计上即作为热钱包运行，官方指引要求运营商仅在线保留运营所需余额，并将多余资金转移到离线密钥。在 promised 的技术报告明确攻击路径之前，每一个未打补丁或刚完成升级的实例都应被视为潜在目标——这正是补丁与完整的凭据轮换流程一同发布的原因。

本报道原文由 COINOTAG 发布。