LNbits 呼籲所有伺服器營運者在攻擊後立即關閉伺服器

開源閃電網路錢包與帳戶平台 LNbits 於 11 月 8 日要求所有伺服器營運者立即停止伺服器運行，此前該專案稱遭遇「一波攻擊」，而安全修補程式尚未推出。

該專案於週日美東時間上午 8 點 56 分在 X 上發文表示：「所有 LNbits 使用者應立即停止他們的 LNbits 伺服器。」「在一波攻擊之後，我們有多項安全修補程式待推出。」

該專案隨後表示，已作為預防措施停用其託管服務 my.lnbits.com 上的所有實例，服務將在 24 小時內恢復。

該軟體允許營運者在連接的資金來源之上建立錢包與支付應用程式，其文件列出的後端包括 LND 與 Core Lightning。此次關閉指示僅針對 LNbits 伺服器，而非閃電網路上的所有節點。換言之，該命令針對的是運行在閃電節點之上的應用層，而非節點後端本身。由於 LNbits 實例可能為使用營運者錢包應用程式但未自行運行任何基礎設施的使用者保管餘額，此層的漏洞可能危及終端使用者的資金，而不僅是部署伺服器者的資金。

從 Paywall 警告到全面關閉

全面停止伺服器的命令之前，LNbits 曾先發出警告，要求營運者在開發人員調查潛在錯誤期間立即停用 Paywall 擴充功能。隨後的指示則涵蓋所有 LNbits 伺服器，而不僅是使用該擴充功能的安裝。

關閉通知並未指出易受攻擊的版本、說明攻擊途徑或公布總損失金額。由於沒有可供對照的版本範圍，營運者無法僅憑公告判斷自己的安裝是否受到影響。通知也沒有將任何資金來源配置排除在停止伺服器的指示之外。

營運者通報實例資金被轉出

營運者 Kevin Ravensberg 在 X 上以第一手描述表示，在他來得及停止伺服器之前，約有 229 萬聰——約 0.0229 BTC——已被新建的帳戶從他的 LNbits 實例轉出。他承諾將補償 BitTipBot 使用者的損失，但表示在 LNbits 修補漏洞之前，使用者將無法取用資金。

他的經歷說明了針對單一實例的攻擊如何波及從未自行營運伺服器的人：本案中受影響的餘額屬於建構在其部署之上的服務使用者。

修補程式仍未推出

截至發文時，該專案的 GitHub 發布頁面仍將 v1.6.2——9 月 18 日發布的 PostgreSQL 備份緊急修補——列為最新版本，且未列出針對週日攻擊的發布版本。

LNbits 貢獻者 Ben Arc 表示，修補程式「應在 24 至 48 小時內合併並可供使用」。

在相關版本出現之前，營運者沒有可升級的修補版本，而停止伺服器的指示在發文時仍然有效。值得關注的具體指標包括：GitHub 發布頁面上是否有比 v1.6.2 更新的版本、my.lnbits.com 公布的 24 小時恢復時限，以及該專案的 X 帳號是否發布解除警報的最新消息。