比特幣閃電網路錢包平台LNbits在通報多起針對LNbits實例並導致資金失竊的攻擊後,敦促用戶立即更新至最新版本。

該專案於週二發布版本1.7.0,距首次公開警告兩天,並將其描述為修補漏洞、強化身分驗證、擴充管理與支付處理的關鍵版本。不過LNbits警告,僅升級無法保護憑證已遭入侵的安裝環境。

LNbits創辦人Ben Arc在X平台上的一則貼文中表示:「這幾天非常艱難,在我們的用戶與我們自身都蒙受損失之後,我們不懈努力才推出v1.7版本。」該貼文也同步分享至Nostr。

LNbits提供運行比特幣閃電網路錢包的軟體——建構於閃電網路(Lightning Network),即比特幣的快速低費用支付層——以及各種支付應用程式,包括商家結帳、打賞服務與付費牆。由於LNbits設計為在營運者自己的伺服器上運行,每個安裝環境的安全性取決於個別營運者本人。Arc於五月表示,約有20萬人自行運行該軟體。

LNbits最早於週日警告營運者在調查潛在漏洞期間停用其Paywall擴充功能。僅一小時多後,該專案敦促用戶立即關閉其LNbits伺服器,理由是攻擊潮湧現,同時也將自家託管的安裝環境下線。

在緊急修補程式發布的同時,LNbits於公告中表示,該漏洞影響1.7.0之前的所有版本,並使資金面臨失竊風險。該公司尚未詳細說明漏洞利用手法或受影響的營運者數量,並表示將另行發布詳述漏洞的獨立報告。在該報告發布之前,自建實例的整體損失規模仍不得而知。

LNbits還提醒,升級前已外洩的憑證仍可能讓攻擊者在之後取得存取權限。它敦促營運者重設錢包金鑰、更換資金來源憑證,並將儲存在LNbits設定中的機密視為已遭入侵,若懷疑環境已遭入侵,建議遷移至全新伺服器。

有用戶Kevin Ravensberg表示,攻擊者利用了他的LNbits實例,在他得以關閉伺服器之前,透過新建立的帳戶提取了約230萬聰,即0.023顆比特幣。

Cointelegraph已聯繫Ben Arc與LNbits尋求置評。