比特币闪电网络钱包与支付应用平台 LNbits 敦促用户立即升级至最新版本。此前一波针对 LNbits 实例的攻击导致资金被盗。

该项目于周二发布了 1.7.0 版本，称其为一个关键版本，修复了多项漏洞，并加强了身份验证、扩展管理和支付处理。但 LNbits 同时提醒，仅靠升级无法保护凭据已经泄露的安装实例。

LNbits 创建者 Ben Arc 在 X 上表示：“这几天非常艰难，在我们自己和用户都蒙受损失之后，我们不懈努力才推出了 v1.7 版本。”

LNbits 是做什么的

LNbits 提供用于运行比特币闪电网络钱包和支付应用的软件，包括商家收银、打赏服务和付费墙。Arc 在五月曾表示，约有 20 万人自行运行该软件。这一数字描述的是在自己基础设施上运行该软件的运营者，这意味着升级和轮换凭据成为逐实例执行的任务——这也解释了为何此次版本发布的同时附带了针对现有安装实例的明确清理指南。

事件经过

LNbits 于周日首次提醒运营者停用其 Paywall 扩展，同时调查一个潜在漏洞。仅一小时出头之后，该项目便以一波攻击为由，敦促用户立即关闭其 LNbits 服务器，并将其自身托管实例下线。

在随紧急补丁（于首次警告两天后发布）一同发布的公告中，LNbits 表示该漏洞影响 1.7.0 之前的所有版本，并使资金面临被盗风险——这意味着任何仍在运行较早版本的部署在升级之前都处于暴露状态。该项目尚未披露漏洞细节或受影响的运营者数量。

运营者应采取的步骤

LNbits 警告称，升级前已暴露的凭据仍可能让攻击者事后获得访问权限。该项目敦促运营者重置钱包密钥、更换资金来源凭据，并将存储在 LNbits 设置中的机密视为已泄露，同时建议在疑似遭到入侵时迁移至全新服务器。

一位名为 Kevin Ravensberg 的用户表示，攻击者利用了他的 LNbits 实例，在他关闭服务器之前，通过新建账户转走了约 230 万聪（0.023 比特币）。

LNbits 表示，随后将发布一份详述该漏洞的单独报告。Cointelegraph 已联系 Ben Arc 和 LNbits 寻求置评（原报道）。