Revista Bitcoin
LNbits lanza la actualización de seguridad urgente 1.7.0 después de que los ataques del 8 de noviembre drenaran los fondos
LNbits, la plataforma de cuentas y billetera de código abierto Lightning Network, lanzó la versión 1.7.0 el 10 de noviembre como una actualización de seguridad urgente e indicó a todos los operadores que actualizaran antes de reiniciar sus servidores. La cuenta X oficial del proyecto publicó el anuncio con un enlace al Lanzamiento de GitHub, llamándolo “ACTUALIZACIÓN DE SEGURIDAD”.
La liberación se produce tras una ola de ataques que comenzó durante el fin de semana. El 8 de noviembre, LNbits publicó en X que todos los usuarios deberían detener sus servidores LNbits inmediatamente después de informar sobre ataques activos, agregó que se estaban preparando parches de seguridad y que era “mejor pecar de cauteloso”.
El proyecto también deshabilitó instancias en su servicio alojado. Múltiples informes documentaron la creación de cuentas y retiros de fondos no autorizados.
Kevin Ravensberg, operador del servicio de propinas de Telegram BitTipBot, declaró públicamente que los atacantes crearon nuevas cuentas en su instancia y retiraron 2.285.545 satoshis (aproximadamente 0,0229 BTC) entre aproximadamente las 09:22 y las 14:00 UTC del 8 de noviembre.
Según el guía de actualización oficial publicado junto con el lanzamiento, las versiones anteriores a la 1.7.0 se ven afectadas y "los fondos que se ejecutan en versiones anteriores de LNbits corren el riesgo de ser robados". El proyecto declaró que la versión 1.7.0 incluye correcciones de seguridad en respuesta al incidente descubierto el 8 de noviembre y que seguirá un informe técnico completo sobre el exploit.
Se recomienda a los operadores configurar un servidor nuevo si se sospecha que está comprometido, porque la actualización por sí sola no puede eliminar el acceso que un atacante ya haya obtenido. Los pasos de recuperación adicionales incluyen rotar todas las claves de la billetera del usuario como superadministrador, reemplazar las credenciales de la fuente de financiamiento (claves API o macarrones), rotar otros secretos almacenados en la configuración y revisar o recrear conexiones para extensiones como NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA.
Las notas de la versión de GitHub describen un amplio refuerzo de la seguridad en la autenticación, la gestión de extensiones y el manejo de pagos, además de actualizaciones de dependencia. Las nuevas características que se incluyen con la versión incluyen soporte de billetera en cadena, pagos de oferta BOLT12, autenticación de dos factores TOTP, soporte NIP-17, un programador de trabajos, actualizaciones automáticas de extensiones y soporte de facturas retenidas para la fuente de financiamiento LNbits. El proyecto señala que LNbits funciona como una billetera activa y que los operadores deben mantener solo saldos operativos en línea, revisar periódicamente la actividad y transferir el exceso de fondos a claves fuera de línea.
LNbits fue fundado como un proyecto gratuito y de código abierto en 2019 por Ben Arc y luego incorporó una entidad comercial para apoyar el desarrollo. proporciona cuentas multiusuario y un gran conjunto de extensiones además de cualquier fuente de financiación Lightning (incluidos LND y Core Lightning). La revista Bitcoin describió el proyecto en septiembre de 2024 y lo describió como "el WordPress para tu nodo Bitcoin Lightning" destacando su amplio uso por parte de individuos, empresas y operadores de nodos que buscan herramientas Lightning accesibles. El software se implementa ampliamente tanto de forma autohospedada como a través de instancias administradas.
A partir del anuncio de la versión 1.7.0, el proyecto no ha publicado un total agregado de fondos perdidos en todas las instancias afectadas. Los operadores que aún no hayan actualizado deben consultar la guía oficial antes de volver a poner los servidores en línea.
Esta publicación LNbits lanza la actualización de seguridad urgente 1.7.0 después de que los ataques del 8 de noviembre drenaran los fondos apareció por primera vez en Revista Bitcoin y está escrito por Juan Galt.
