开源闪电网络钱包与账户平台LNbits于11月10日发布1.7.0版本，作为紧急安全更新，并要求所有运营者在重启服务器前完成升级。该项目的官方X账户在宣布此版本时附上了GitHub发布页面的链接，并将其标注为“安全更新”（SECURITY UPDATE）。

此次补丁是对上周末开始的一波攻击的回应。11月8日，LNbits在X上发帖称，在报告遭到活跃攻击后，所有用户应立即停止其LNbits服务器，并表示正在准备安全补丁，“宁可谨慎行事”。该项目还停用了其托管服务上的实例。

多份报告记录了未经授权的账户创建和资金提走行为。Kevin Ravensberg是Telegram打赏服务BitTipBot的运营者，他公开表示，攻击者在其实例上创建了新账户，并于11月8日大约09:22至14:00（UTC）期间提走了2,285,545聪（约0.0229 BTC）。

根据随版本一同发布的官方升级指南，1.7.0之前的所有版本均受影响，且“运行旧版本LNbits的资金存在被盗风险”。该项目表示，1.7.0包含针对11月8日发现事件的安全修复，并将在后续发布该漏洞的完整技术报告。由于LNbits在单一资金源之上提供多用户账户和扩展，此次更新的重要性不仅关系到个别运营者，还关系到未打补丁实例（无论是自托管还是托管）的用户——他们的余额依赖于底层运行的软件。

怀疑遭受入侵的运营者建议部署全新服务器，因为仅靠更新无法消除攻击者可能已获得的访问权限。其他恢复步骤包括：以超级管理员身份轮换所有用户钱包密钥、更换资金源凭证（API密钥或macaroon）、轮换存储在设置中的其他密钥，以及审查或重建NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat和FOSSA等扩展的连接。

GitHub发布说明描述了在身份验证、扩展管理和支付处理方面的广泛安全加固，以及依赖项更新。该版本还带来多项新功能，包括链上钱包支持、BOLT12报价支付、TOTP双因素认证、NIP-17支持、任务调度器、扩展自动更新，以及LNbits资金源的持有发票（hold invoice）支持。

该项目提醒运营者，LNbits作为热钱包运行：应仅保留运营所需余额在线，定期审查活动，并将多余资金转移到离线密钥——这是任何在线持有资金的闪电网络服务的标准操作规范。

LNbits由Ben Arc于2019年创立为免费开源项目，后来成立商业实体以支持开发。该软件可在任何闪电网络资金源之上提供多用户账户和大量扩展套件，包括LND和Core Lightning。Bitcoin Magazine曾于2024年9月对该项目进行专题报道，称其为“比特币闪电网络节点的WordPress”，并指出寻求易用闪电网络工具的个人、企业和节点运营者广泛使用该软件。它被广泛部署，既有自托管方式，也有托管实例方式。

截至v1.7.0发布公告，该项目尚未公布所有受影响实例的损失资金总额，承诺的漏洞技术报告也尚未发布——这两条线索将决定事件的完整全貌。尚未升级的运营者应在服务器重新上线前查阅官方指南。

本文《LNbits Releases 1.7.0 Urgent Security Update After November 8 Attacks Drain Funds》首发于Bitcoin Magazine，作者为Juan Galt。