ビットコインマガジン

11月8日の攻撃による資金枯渇を受け、LNbitsが緊急セキュリティアップデート1.7.0をリリース

オープンソースのライトニングネットワークウォレットおよびアカウントプラットフォームである LNbits は、緊急セキュリティアップデートとしてバージョン 1.7.0 を 11 月 10 日にリリースし、サーバーを再起動する前にアップグレードするようすべてのオペレーターに指示しました。プロジェクトの公式 X アカウントは、次のリンクを含む発表を投稿しました。 GitHub リリース、それを「セキュリティアップデート」と呼びます。

このリリースは、週末に始まった一連の攻撃に続くものである。 11 月 8 日、LNbits は X に、すべてのユーザーが次のことを行うよう投稿しました。 LNbitサーバーを直ちに停止してください 活発な攻撃を報告した後、セキュリティパッチは準備中であるため、「用心したほうが良い」と付け加えた。 

このプロジェクトは、ホストされているサービスのインスタンスも無効にしました。複数の報告書で、不正なアカウント作成と資金引き出しが記録されています。 

ケビン・ラベンスバーグTelegram 投げ銭サービス BitTipBot の運営者は、攻撃者が自身のインスタンスに新しいアカウントを作成し、11 月 8 日およそ 09:22 から 14:00 UTC の間に 2,285,545 SATOSHI (約 0.0229 BTC) を引き出したと公に述べました。

によると、 公式アップグレードガイダンス リリースと同時に公開された 1.7.0 より前のバージョンが影響を受け、「以前のバージョンの LNbit で実行されている資金が盗まれる危険にさらされています。」プロジェクトでは、1.7.0 には 11 月 8 日に発見されたインシデントに対応したセキュリティ修正が含まれており、このエクスプロイトに関する完全な技術レポートがその後に公開される予定であると述べています。 

更新だけでは攻撃者がすでに取得したアクセスを削除できないため、セキュリティ侵害が疑われる場合は、新しいサーバーをセットアップすることをお勧めします。追加の回復手順には、スーパー管理者としてのすべてのユーザーのウォレット キーのローテーション、資金源の認証情報 (API キーまたはマカロン) の置き換え、設定に保存されているその他のシークレットのローテーション、NWC プロバイダー、LNDHub、Bolt Card、TPOS、Bleskomat、FOSSA などの拡張機能の接続の確認または再作成が含まれます。

GitHub のリリース ノートでは、認証、拡張機能の管理、支払い処理にわたる広範なセキュリティ強化と、依存関係の更新について説明しています。このバージョンに同梱される新機能には、オンチェーン ウォレット サポート、BOLT12 オファー支払い、TOTP 2 要素認証、NIP-17 サポート、ジョブ スケジューラ、自動延長更新、LNbits 資金源の保留請求書サポートが含まれます。同プロジェクトでは、LNbitsはホットウォレットとして機能し、事業者は運用残高のみをオンラインに保持し、活動を定期的に確認し、余剰資金をオフラインキーに移動する必要があると指摘している。

LNbits は、2019 年に Ben Arc によって無料のオープンソース プロジェクトとして設立され、その後、開発をサポートするために営利団体を設立しました。それは提供します マルチユーザーアカウント そして、Lightning の資金源 (LND および Core Lightning を含む) に加えて、大規模な拡張機能スイートが提供されます。 Bitcoin Magazine は 2024 年 9 月にこのプロジェクトを紹介し、次のように説明しました。Bitcoin Lightning ノードの WordPress」は、アクセス可能な Lightning ツールを求める個人、企業、ノード オペレータによって広く使用されていることを指摘しており、このソフトウェアはセルフホスト型とマネージド インスタンス経由の両方で広く導入されています。

v1.7.0 の発表の時点では、プロジェクトは影響を受けるすべてのインスタンスで失われた資金の合計を公表していません。まだアップグレードしていないオペレーターは、サーバーをオンラインに戻す前に公式ガイダンスを参照するよう指示されます。

この投稿 11月8日の攻撃による資金枯渇を受け、LNbitsが緊急セキュリティアップデート1.7.0をリリース 最初に登場したのは ビットコインマガジン そして、によって書かれています フアン・ガルト.