프로젝트에서는 이전 버전을 실행하는 설치가 취약하다고 경고했으며 업그레이드 후에도 잠재적으로 노출된 자격 증명을 교체할 것을 운영자에게 촉구했습니다.
비트코인 라이트닝 지갑 플랫폼 LNbits는 LNbits 인스턴스를 표적으로 삼아 자금을 도난당하는 일련의 공격을 보고한 후 사용자들에게 즉시 최신 버전으로 업데이트할 것을 촉구했습니다.
이 프로젝트는 화요일에 버전 1.7.0을 게시하여 취약점을 해결하고 인증, 확장 관리 및 결제 처리를 강화하는 중요한 릴리스라고 설명했습니다. LNbits는 업데이트만으로는 이미 자격 증명이 손상된 설치를 보호할 수 없다고 경고했습니다.
LNbits 제작자인 Ben Arc는 X에 대해 "사용자와 손실을 입은 후 v1.7 릴리스를 출시하기 위해 끊임없이 노력하는 것은 며칠 동안 매우 어려운 일이었습니다."라고 말했습니다.
LNbits는 판매자 결제, 팁 서비스 및 페이월을 포함하여 Bitcoin Lightning 지갑 및 결제 애플리케이션을 실행하기 위한 소프트웨어를 제공합니다. 개발자 Ben Arc는 지난 5월 약 200,000명의 사람들이 소프트웨어를 직접 실행한다고 말했습니다.
LNbits는 잠재적인 취약점을 조사하는 동안 Paywall 확장 프로그램을 비활성화하라고 일요일에 처음으로 운영자에게 경고했습니다. 한 시간 남짓 후, 프로젝트는 공격의 물결을 언급하며 사용자들에게 LNbits 서버를 즉시 종료할 것을 촉구했습니다. 또한 자체 호스팅 설치를 오프라인으로 전환했습니다.
회사는 아직 익스플로잇과 이로 인해 영향을 받은 사람 수에 대해 자세히 설명하지 않았습니다. 긴급 패치와 함께 발표된 내용에서 LNbits는 이 취약점이 1.7.0 이전의 모든 버전에 영향을 미치며 자금을 도난당할 위험이 있다고 밝혔습니다.
관련: BitMart 창립자는 새로운 해킹 이후 보안 팀이 '심각하게 인력 부족'을 겪고 있다고 말했습니다.
또한 업그레이드 전에 노출된 자격 증명은 공격자에게 나중에 액세스 권한을 부여할 수 있다고 경고하면서 운영자에게 지갑 키를 재설정하고, 자금 출처 자격 증명을 교체하고, LNbits 설정에 저장된 비밀을 손상된 것으로 처리하고, 손상이 의심되는 경우 새로운 서버로 이동할 것을 권장했습니다.
Cointelegraph는 Ben Arc와 LNbits에 의견을 요청했습니다.
한 사용자인 Kevin Ravensberg는 공격자들이 그의 LNbits 인스턴스를 악용하여 서버를 종료하기 전에 새로 생성된 계정을 통해 약 230만 사토시, 즉 0.023 비트코인을 인출했다고 말했습니다.
회사는 이 공격에 대해 자세히 설명하는 별도의 보고서가 나올 것이라고 말했습니다.
매거진: 비트코인의 '역대 최고의 구매 기회'가 도래했습니다: Mark Moss
