LNbits 於11月8日攻擊後緊急推出 1.7.0 安全更新

開源閃電網路（Lightning）錢包與帳戶平台 LNbits 於11月10日發布 1.7.0 版本，作為緊急安全更新，並指示所有營運者在伺服器重新上線前安裝該修補程式。該項目的官方 X 帳戶將此次發布描述為「SECURITY UPDATE」（安全更新），並引導營運者前往 GitHub 發布說明查看完整變更清單。

LNbits 由 Ben Arc 於2019年創立，是一個免費的開源專案，可在任何閃電網路資金來源（包括 LND 與 Core Lightning）之上提供多用戶帳戶及豐富的擴充功能套件，部署方式涵蓋自建（self-hosted）與託管實例。

攻擊始於11月8日

事件時間線始於週末。11月8日，該項目公開呼籲用戶立即關閉伺服器，表示在安全修補程式準備期間寧可審慎行事。LNbits 同時停用了其自家託管服務上的所有實例。

營運者的通報描述了未經授權的帳戶建立，隨後發生從用戶餘額提款的行為。營運 Telegram 打賞服務 BitTipBot 的 Kevin Ravensberg 通報，攻擊者在其實例上開設新帳戶，並於11月8日約 09:22 至 14:00 UTC 之間提取了 2,285,545 聰——約合 0.0229 比特幣（BTC）。

根據隨版本一同發布的官方升級指引，1.7.0 之前的所有版本均受影響，運行於較早版本的資金面臨被竊風險。團隊確認 1.7.0 包含針對11月8日發現事件的修復，並表示將於稍後發布有關該漏洞利用的完整技術報告。公告並未點名該漏洞，受影響實例的損失總額亦尚未公布。

輪替金鑰與重建受損伺服器

安裝修補程式與從入侵中復原是兩項獨立的工作。LNbits 警告，更新並不會自動撤銷攻擊者可能已取得的任何存取權限，這意味著若伺服器在攻擊時間窗內曾遭觸及，即使完成升級仍可能不安全。指引要求懷疑遭入侵的營運者先保存日誌與紀錄，然後部署運行 1.7.0 的全新伺服器，而非信任舊機器。保存這些紀錄對後續鑑識至關重要，因為承諾發布的技術報告將依賴攻擊路徑的證據。

在新伺服器上，超級管理員（Super Admin）應輪替每個用戶錢包的私鑰，使舊金鑰失效，且每個已連線的應用程式都必須更新為新金鑰。資金來源憑證（例如 API 金鑰或 macaroon）需在來源端撤銷並重新簽發，儲存在伺服器設定中的其他機密資訊也應一併輪替。現有的擴充功能連線——包括 NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat 與 FOSSA——必須拆除並以新憑證重建。

1.7.0 版本的變更內容

發布說明描述了在認證、擴充功能管理與支付處理方面的強化措施，以及相依套件更新，但封堵攻擊路徑的具體變更尚未公開。1.7.0 版本亦引入多項新功能：鏈上錢包支援、BOLT12 offer 支付、TOTP 雙因素認證、NIP-17 支援、工作排程器、擴充功能自動更新，以及 LNbits 資金來源的 hold invoice 支援。

SlowMist 的事件日誌將同一筆 2,285,545 聰的數字列為單一實例損失案例，且公告並未聲稱比特幣網路或閃電網路協定本身遭到入侵。目前確認的損害集中在營運者伺服器，而非協定層。

據 COINOTAG 分析，尚未揭露的根本原因是本案最關鍵之處。LNbits 在設計上即為熱錢包運作，官方指引要求營運者僅在線上保留營運所需餘額，並將多餘資金轉移至離線金鑰。在承諾的技術報告指明攻擊路徑之前，每個未修補或剛完成升級的實例都應被視為潛在目標——這正是該修補程式需搭配完整憑證輪替程序一同發布的原因。

原始報導由 COINOTAG 發布。