LNbits 在遭遇一连串攻击后敦促所有服务器运营者立即停机

开源闪电网络钱包与账户平台 LNbits 于 11 月 8 日要求所有服务器运营者立即停止其服务器，此前该平台称遭遇了"一连串攻击"，安全补丁尚未发布。

"所有 LNbits 用户应立即停止其 LNbits 服务器，"该项目于周日凌晨 8:56（美东时间）在 X 上发帖称。"在一连串攻击之后，我们有多项安全补丁待发布。"

该项目随后表示，作为预防措施，已停用其托管服务 my.lnbits.com 上的所有实例，服务将在 24 小时内恢复。

该软件允许运营者在已连接的资金源之上创建钱包和支付应用，其文档列出的后端包括 LND 和 Core Lightning。此次停机指令仅针对 LNbits 服务器，而非闪电网络上的每一个节点。换言之，该命令针对的是运行在闪电节点之上的应用层，而非节点后端本身。由于一个 LNbits 实例可能为未运行任何自有基础设施的钱包应用用户持有余额，这一层的漏洞可能危及最终用户的资金，而不仅仅是部署服务器的人。

从 Paywall 警告到全面停机

在全面停机命令之前，LNbits 曾发出早期警告，要求运营者在开发者调查潜在漏洞期间立即停用 Paywall 扩展。随后的指令覆盖了所有 LNbits 服务器，而不仅是使用该扩展的安装实例。

停机通知未指明受影响的版本、解释攻击途径或公布总损失金额。由于没有可供比对的版本范围，运营者无法仅凭公告判断自己的安装是否受到影响。通知也未将任何资金源配置排除在下线指令之外。

运营者报告实例资金被转出

运营者 Kevin Ravensberg 在 X 上发布的亲身经历中称，约 229 万聪（约合 0.0229 BTC）在他来得及停止服务器之前，已被新建账户从他的 LNbits 实例中转出。他承诺将全额补偿 BitTipBot 用户，但表示在 LNbits 修复漏洞之前，用户将无法访问资金。

他的经历说明了对单个实例的攻击如何波及从未自行运营服务器的用户：本案中受影响的余额属于构建在其部署之上的服务的用户。

补丁仍在准备中

截至发稿，该项目的 GitHub 发布页面仍将 v1.6.2（9 月 18 日发布的 PostgreSQL 备份热修复）列为最新版本，且未列出针对周日攻击的版本。

LNbits 贡献者 Ben Arc 表示，补丁"应在 24-48 小时内合并并可用。"

在补丁版本发布之前，运营者没有可升级的修复版本，停机指令在发稿时仍然有效。值得关注的具体信号包括：GitHub 发布页面是否出现比 v1.6.2 更新的版本、my.lnbits.com 所述的 24 小时恢复窗口，以及该项目 X 账号发布的解除警报更新。