Bitcoin-Magazin
LNbits veröffentlicht dringendes Sicherheitsupdate 1.7.0, nachdem Angriffe vom 8. November Gelder verschlingen
LNbits, die Open-Source-Wallet- und Kontoplattform Lightning Network, veröffentlichte am 10. November Version 1.7.0 als dringendes Sicherheitsupdate und wies alle Betreiber an, ein Upgrade durchzuführen, bevor sie ihre Server neu starten. Der offizielle X-Account des Projekts veröffentlichte die Ankündigung mit einem Link dazu GitHub-Veröffentlichungund nannte es ein „SICHERHEITS-UPDATE“.
Die Veröffentlichung folgt auf eine Angriffswelle, die am Wochenende begann. Am 8. November veröffentlichte LNbits auf X, was alle Benutzer tun sollten Stoppen Sie ihre LNbits-Server sofort Nachdem er über aktive Angriffe berichtet hatte, fügte er hinzu, dass Sicherheitspatches vorbereitet würden und dass es „besser sei, auf Nummer sicher zu gehen“.
Das Projekt hat auch Instanzen in seinem gehosteten Dienst deaktiviert. Mehrere Berichte dokumentierten unbefugte Kontoeröffnungen und Geldabhebungen.
Kevin Ravensberg, Betreiber des Telegram-Trinkgelddienstes BitTipBot, erklärte öffentlich, dass Angreifer am 8. November zwischen etwa 09:22 und 14:00 UTC neue Konten auf seiner Instanz erstellt und 2.285.545 Satoshis (ungefähr 0,0229 BTC) abgehoben hätten.
Laut der Offizielle Upgrade-Anleitung Gleichzeitig mit der Veröffentlichung veröffentlicht, sind Versionen vor 1.7.0 betroffen und „Gelder, die auf früheren Versionen von LNbits laufen, laufen Gefahr, gestohlen zu werden.“ Das Projekt gab an, dass 1.7.0 Sicherheitskorrekturen als Reaktion auf den am 8. November entdeckten Vorfall enthält und dass ein vollständiger technischer Bericht über den Exploit folgen wird.
Betreibern wird empfohlen, bei Verdacht auf eine Kompromittierung einen neuen Server einzurichten, da eine Aktualisierung allein den Zugriff, den ein Angreifer möglicherweise bereits erlangt hat, nicht entfernen kann. Zu den weiteren Wiederherstellungsschritten gehören das Rotieren aller Benutzer-Wallet-Schlüssel als Super Admin, das Ersetzen von Anmeldeinformationen für die Finanzierungsquelle (API-Schlüssel oder Makronen), das Rotieren anderer in Einstellungen gespeicherter Geheimnisse sowie das Überprüfen oder Neuerstellen von Verbindungen für Erweiterungen wie NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA.
In den GitHub-Versionshinweisen werden umfassende Sicherheitsverstärkungen in den Bereichen Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung sowie Abhängigkeitsaktualisierungen beschrieben. Zu den neuen Funktionen, die mit der Version ausgeliefert werden, gehören On-Chain-Wallet-Unterstützung, BOLT12-Angebotszahlungen, TOTP-Zwei-Faktor-Authentifizierung, NIP-17-Unterstützung, ein Job-Scheduler, automatische Erweiterungsaktualisierungen und Unterstützung für das Halten von Rechnungen für die LNbits-Finanzierungsquelle. Das Projekt stellt fest, dass LNbits als Hot Wallet fungiert und dass Betreiber nur Betriebssalden online halten, die Aktivitäten regelmäßig überprüfen und überschüssige Gelder auf Offline-Schlüssel verschieben sollten.
LNbits wurde 2019 von Ben Arc als kostenloses Open-Source-Projekt gegründet und gründete später eine kommerzielle Einheit zur Unterstützung der Entwicklung. Es bietet Mehrbenutzerkonten und eine große Suite von Erweiterungen zusätzlich zu jeder Lightning-Finanzierungsquelle (einschließlich LND und Core Lightning). Das Bitcoin Magazine stellte das Projekt im September 2024 vor und beschrieb es als „das WordPress für Ihren Bitcoin Lightning-Knoten” unter Hinweis auf die weit verbreitete Nutzung durch Einzelpersonen, Unternehmen und Knotenbetreiber, die auf der Suche nach zugänglichen Lightning-Tools sind. Die Software wird sowohl selbst gehostet als auch über verwaltete Instanzen weit verbreitet bereitgestellt.
Zum Zeitpunkt der Ankündigung von Version 1.7.0 hat das Projekt keine Gesamtsumme der verlorenen Gelder für alle betroffenen Instanzen veröffentlicht. Betreiber, die noch kein Upgrade durchgeführt haben, werden auf die offiziellen Richtlinien verwiesen, bevor sie Server wieder online schalten.
Dieser Beitrag LNbits veröffentlicht dringendes Sicherheitsupdate 1.7.0, nachdem Angriffe vom 8. November Gelder verschlingen erschien erstmals am Bitcoin-Magazin und ist geschrieben von Juan Galt.
