Биткойн Журнал
LNbits выпускает срочное обновление безопасности 1.7.0 после атак 8 ноября, истощающих средства
LNbits, платформа кошельков и учетных записей Lightning Network с открытым исходным кодом, выпустила версию 1.7.0 10 ноября в качестве срочного обновления безопасности и поручила всем операторам выполнить обновление перед перезапуском своих серверов. На официальном X-аккаунте проекта было опубликовано объявление со ссылкой на Релиз на GitHub, назвав это «ОБНОВЛЕНИЕ БЕЗОПАСНОСТИ».
Этот релиз последовал за волной атак, которая началась в минувшие выходные. 8 ноября LNbits опубликовал на X сообщение, что всем пользователям следует немедленно остановить их серверы LNbits после сообщения об активных атаках он добавил, что готовятся исправления безопасности и что «лучше проявить осторожность».
Проект также отключил экземпляры на своем размещенном сервисе. Во многих отчетах зафиксировано несанкционированное создание учетных записей и снятие средств.
Кевин Равенсберг, оператор службы чаевых Telegram BitTipBot, публично заявил, что злоумышленники создали новые учетные записи на его экземпляре и вывели 2 285 545 сатоши (приблизительно 0,0229 BTC) примерно между 09:22 и 14:00 UTC 8 ноября.
Согласно официальное руководство по обновлению опубликованные одновременно с выпуском, затронуты версии до 1.7.0, и «средства, работающие на предыдущих версиях LNbits, подвергаются риску быть украденными». В проекте заявили, что версия 1.7.0 включает исправления безопасности в ответ на инцидент, обнаруженный 8 ноября, и что последует полный технический отчет об эксплойте.
Операторам рекомендуется настроить новый сервер при подозрении на взлом, поскольку само по себе обновление не может лишить злоумышленника доступа, который уже мог быть получен. Дополнительные шаги восстановления включают замену всех ключей кошелька пользователя в качестве суперадминистратора, замену учетных данных источника финансирования (ключи API или макароны), ротацию других секретов, хранящихся в настройках, а также проверку или повторное создание подключений для таких расширений, как NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat и FOSSA.
В примечаниях к выпуску GitHub описано масштабное усиление безопасности при аутентификации, управлении расширениями и обработке платежей, а также обновления зависимостей. Новые функции, поставляемые с версией, включают поддержку внутрисетевого кошелька, платежи по предложению BOLT12, двухфакторную аутентификацию TOTP, поддержку NIP-17, планировщик заданий, автоматические обновления расширений и поддержку удержания счетов для источника финансирования LNbits. В проекте отмечается, что LNbits функционирует как горячий кошелек и что операторы должны хранить в сети только операционные балансы, регулярно проверять активность и переводить излишки средств на автономные ключи.
LNbits была основана Беном Арком как бесплатный проект с открытым исходным кодом в 2019 году, а затем была преобразована в коммерческую организацию для поддержки разработки. Он обеспечивает многопользовательские учетные записи и большой набор расширений в дополнение к любому источнику финансирования Lightning (включая LND и Core Lightning). Журнал Bitcoin Magazine представил проект в сентябре 2024 года, охарактеризовав его как «WordPress для вашего узла Bitcoin Lightning", отмечая его широкое использование частными лицами, предприятиями и операторами узлов, которым нужны доступные инструменты Lightning. Программное обеспечение широко развертывается как самостоятельно, так и через управляемые экземпляры.
На момент анонса версии 1.7.0 проект не опубликовал совокупную сумму потерянных средств во всех затронутых экземплярах. Операторы, которые еще не обновились, будут направлены к официальному руководству, прежде чем снова включать серверы.
Этот пост LNbits выпускает срочное обновление безопасности 1.7.0 после атак 8 ноября, истощающих средства впервые появился на Биткойн Журнал и написано Хуан Галт.
