Magazine Bitcoin

LNbits publie la mise à jour de sécurité urgente 1.7.0 après les attaques du 8 novembre qui ont drainé des fonds

LNbits, la plateforme open source de portefeuille et de comptes Lightning Network, a publié la version 1.7.0 le 10 novembre en tant que mise à jour de sécurité urgente et a demandé à tous les opérateurs de mettre à niveau avant de redémarrer leurs serveurs. Le compte X officiel du projet a publié l'annonce avec un lien vers le Version GitHub, l’appelant une « MISE À JOUR DE SÉCURITÉ ».

Cette libération fait suite à une vague d’attaques qui ont débuté ce week-end. Le 8 novembre, LNbits a publié sur X que tous les utilisateurs devraient arrêter immédiatement leurs serveurs LNbits après avoir signalé des attaques actives, ajoutant que des correctifs de sécurité étaient en cours de préparation et qu’il valait « mieux pécher par excès de prudence ». 

Le projet a également désactivé les instances sur son service hébergé. Plusieurs rapports ont documenté des créations de comptes et des retraits de fonds non autorisés. 

Kévin Ravensberg, opérateur du service de pourboires Telegram BitTipBot, a déclaré publiquement que les attaquants avaient créé de nouveaux comptes sur son instance et retiré 2 285 545 satoshis (environ 0,0229 BTC) entre environ 09h22 et 14h00 UTC le 8 novembre.

Selon le conseils officiels de mise à niveau publiées parallèlement à la version, les versions antérieures à 1.7.0 sont affectées et « les fonds fonctionnant sur des versions antérieures de LNbits risquent d'être volés ». Le projet indique que la version 1.7.0 inclut des correctifs de sécurité en réponse à l'incident découvert le 8 novembre et qu'un rapport technique complet sur l'exploit suivra. 

Il est conseillé aux opérateurs de configurer un nouveau serveur en cas de suspicion de compromission, car la mise à jour seule ne peut pas supprimer l'accès qu'un attaquant aurait déjà pu obtenir. Des étapes de récupération supplémentaires incluent la rotation de toutes les clés du portefeuille utilisateur en tant que super-administrateur, le remplacement des informations d'identification de la source de financement (clés API ou macarons), la rotation d'autres secrets stockés dans les paramètres et la révision ou la recréation de connexions pour des extensions telles que NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.

Les notes de version de GitHub décrivent un renforcement approfondi de la sécurité en termes d'authentification, de gestion des extensions et de traitement des paiements, ainsi que des mises à jour de dépendances. Les nouvelles fonctionnalités fournies avec la version incluent la prise en charge du portefeuille en chaîne, les paiements de l'offre BOLT12, l'authentification à deux facteurs TOTP, la prise en charge NIP-17, un planificateur de tâches, les mises à jour automatiques des extensions et la prise en charge des factures pour la source de financement LNbits. Le projet note que LNbits fonctionne comme un portefeuille chaud et que les opérateurs doivent conserver uniquement les soldes opérationnels en ligne, examiner régulièrement l'activité et transférer les fonds excédentaires vers des clés hors ligne.

LNbits a été fondé en tant que projet gratuit et open source en 2019 par Ben Arc et a ensuite constitué une entité commerciale pour soutenir le développement. Il fournit comptes multi-utilisateurs et une large suite d'extensions en plus de n'importe quelle source de financement Lightning (y compris LND et Core Lightning). Bitcoin Magazine a présenté le projet en septembre 2024, le décrivant comme «le WordPress pour votre nœud Bitcoin Lightning" notant son utilisation généralisée par les particuliers, les entreprises et les opérateurs de nœuds à la recherche d'outils Lightning accessibles. Le logiciel est largement déployé à la fois auto-hébergé et via des instances gérées.

Depuis l'annonce de la version 1.7.0, le projet n'a pas publié le total global des fonds perdus dans toutes les instances concernées. Les opérateurs qui n'ont pas encore effectué la mise à niveau sont dirigés vers les instructions officielles avant de remettre les serveurs en ligne.

Ce message LNbits publie la mise à jour de sécurité urgente 1.7.0 après les attaques du 8 novembre qui ont drainé des fonds apparu pour la première fois sur Magazine Bitcoin et est écrit par Juan Galt.