比特币闪电钱包平台 LNbits 已发布 v1.7.0 版本，这是一次紧急安全更新，此前发生的一起重大安全事件促使项目方向用户发布了警示性的停机通知。据项目方介绍，此次更新是一个关键安全包，针对漏洞、身份验证、支付处理和扩展管理问题，运营者被敦促尽快采取行动。所有 LNbits 用户均被建议紧急升级至 v1.7.0。

LNbits 是一款免费的开源软件，运行在 LND 和 Core Lightning 等闪电网络节点后端之上，为运营者及其用户提供账户和钱包管理功能。该平台可以通过插件模块进行扩展，其中包括在此次更新事件中出现的 Paywall 扩展。由于每个 LNbits 实例代表多个用户管理钱包，软件中的一个缺陷可能直接导致持有余额的用户蒙受损失——这正是项目方的升级呼吁针对每一个部署的原因。

损失报告后，LNbits 推动紧急升级

此次更新之前，LNbits 于 11 月 8 日发出警告，要求运营者在突发攻击期间将服务器下线。当天早些时候，团队曾要求用户关闭 Paywall 扩展，以便调查可能存在的漏洞。从这些警告到补丁发布之间约两天的间隔，反映出面向公众的钱包基础设施运营者在漏洞遭受攻击时需要以多快的速度作出反应。

LNbits 的创建者 Ben Arc 随后承认，用户和项目方均遭受了损失，并表示 v1.7.0 发布前的几天尤为艰难。

项目方于 11 月 10 日在 X 上发布帖子宣布此次更新：

🚨SECURITY UPDATE🚨 v1.7.0 is now released Please follow the upgrade guidance in the notes.

— LNbits (@lnbits) November 10, 2026

https://x.com/lnbits/status/2120254437419622696?ref_src=twsrc%5Etfw

至少一名运营者公开报告损失了约 229 万聪——约合 0.023 BTC——此前未经授权的用户在某个 LNbits 实例上完成注册并提取了资金。项目方尚未公布所有受影响运营者损失情况的完整统计。

仅靠升级可能还不够

LNbits 提醒称，仅靠升级可能无法保护每一位运营者。据项目方介绍，处于风险中的运营者是那些凭据可能已经遭到泄露的运营者，即使在钱包软件打上补丁之后，钱包密钥、资金凭据或其他机密信息仍可能保持有效。认为自己实例已被入侵的用户应更换凭据，并可能需要在新服务器上重建实例。这一建议反映了开源金融软件领域一个众所周知的情况：修补代码漏洞可以阻止新的攻击，但本身并不能使可能已经暴露的机密信息失效。

这一区别意义重大，因为问题并不在于比特币或闪电网络协议，而在于 LNbits 的软件部署。

v1.7.0 新增 2FA、BOLT12 和链上钱包支持

除安全修复之外，v1.7.0 还是一个功能丰富的版本。GitHub 上的发布说明详细列出了新功能，包括 TOTP 双因素身份验证、链上钱包支持、BOLT12 offer 支付、NIP-17 支持、任务调度器以及自动扩展更新。其中，TOTP 双因素身份验证——即密码之外还需提供基于时间生成的验证码——在此次更新侧重身份验证和账户访问的背景下尤为突出。此版本还包含针对支付通知、闪电网络后端、法币钱包和 Wasm 扩展的多项修复。

支付相关的修复解决了 BOLT12 重试的重复处理、Core Lightning 手续费计算以及 LND 自付款服务费的核算问题。公告还涵盖了软件升级内容，将 LNbits 迁移至 Python 3.13 和 Pydantic 2，并实施了额外的安全增强。

不过，对运营者而言，新功能并非首要任务。LNbits 正在发出明确的行动呼吁，敦促所有现有部署在恢复正常运行之前升级至 v1.7.0。发布说明仍是该流程的权威参考，而项目方对损失的进一步统计将是社区评估事件后果时值得关注的数据。

来源：CryptoNinjas