比特币杂志

11 月 8 日攻击耗尽资金后，LNbits 发布 1.7.0 紧急安全更新

开源闪电网络钱包和账户平台 LNbits 于 11 月 10 日发布了 1.7.0 版本作为紧急安全更新，并指示所有运营商在重新启动服务器之前进行升级。该项目的官方 X 帐户发布了该公告，并附有链接 GitHub 发布，称之为“安全更新”。

此次发布是在周末开始的一波攻击之后发布的。 11 月 8 日，LNbits 在 X 上发帖称，所有用户都应该 立即停止他们的 LNbits 服务器 在报告主动攻击后，他补充说正在准备安全补丁，并且“最好还是谨慎行事”。 

该项目还禁用了其托管服务上的实例。多份报告记录了未经授权的账户创建和资金提取。 

凯文·拉文斯伯格Telegram 小费服务 BitTipBot 的运营商公开表示，攻击者在其实例上创建了新账户，并在 11 月 8 日世界标准时间大约 09:22 至 14:00 之间提取了 2,285,545 聪（约 0.0229 BTC）。

根据 官方升级指导 随着该版本的发布，1.7.0 之前的版本会受到影响，并且“在 LNbits 之前版本上运行的资金有被盗的风险。”该项目表示，1.7.0 包含针对 11 月 8 日发现的事件的安全修复程序，并将随后发布有关该漏洞的完整技术报告。 

如果怀疑受到威胁，建议操作员设置新的服务器，因为单独更新无法删除攻击者可能已经获得的访问权限。其他恢复步骤包括以超级管理员身份轮换所有用户钱包密钥、替换资金来源凭据（API 密钥或蛋白杏仁饼干）、轮换设置中存储的其他机密，以及检查或重新创建 NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat 和 FOSSA 等扩展的连接。

GitHub 发行说明描述了跨身份验证、扩展管理和支付处理以及依赖项更新的广泛安全强化。该版本附带的新功能包括链上钱包支持、BOLT12 报价支付、TOTP 二因素身份验证、NIP-17 支持、作业调度程序、自动扩展更新以及对 LNbits 资金来源的保留发票支持。该项目指出，LNbits 充当热钱包，运营商应仅保留在线运营余额，定期审查活动，并将多余资金转移到离线密钥。

LNbits 由 Ben Arc 于 2019 年创立，是一个免费开源项目，后来合并了一个商业实体来支持开发。它提供 多用户帐户 以及基于任何闪电网络资金来源（包括 LND 和核心闪电）的大量扩展。比特币杂志于 2024 年 9 月对该项目进行了介绍，将其描述为“适用于您的比特币闪电网络节点的 WordPress”注意到它被寻求可访问的闪电工具的个人、企业和节点运营商广泛使用。该软件通过自托管和托管实例广泛部署。

截至 v1.7.0 公告，该项目尚未公布所有受影响实例的资金损失总额。尚未升级的运营商在将服务器恢复上线之前将被引导至官方指南。

这个帖子 11 月 8 日攻击耗尽资金后，LNbits 发布 1.7.0 紧急安全更新 首次出现于 比特币杂志 是由 胡安·高尔特.