Ang Bitcoin Lightning Network wallet platform na LNbits ay nagtatawag sa mga user na agad na i-update sa pinakabagong bersyon, matapos mong i-report ng proyekto na isang serye ng pag-atake sa mga halimbawa ng LNbits ay nagresulta sa pagkawala ng mga pondo.
Ipinahayag ng proyekto ang bersyon 1.7.0 noong Martes, na isang mahalagang update na nag-aayos ng mga vulnerability at nagpapalakas ng authentication, extension management, at payment processing. Babala ng LNbits na kahit na matapos ang update, hindi pa automatikong ligtas ang installation environment kung ang mga credentials ay na-leak na dati.
Sinabi ni Ben Arc, tagapagtatag ng LNbits, sa X: "Sobrang mahirap ang mga nakalipas na araw; kami at ang mga user ay nagdanas ng mga pagkawala, at patuloy kaming nagtatrabaho nang walang pagod upang ilabas ang version 1.7 nang maaga."
Ang LNbits ay nag-aalok ng software para sa pagpapatakbo ng Bitcoin Lightning Network wallet at payment apps, kabilang ang cashier para sa mga negosyo, serbisyo ng tip, at paywall. Noong Mayo ng taong ito, ang developer na si Ben Arc ay nagsabi na humigit-kumulang 200,000 tao ang sariling pinapatakbo ang software na ito.
Unang-una ay nagbaba ng babala ang LNbits noong Linggo na mag-disables muna ang kanilang Paywall extension habang sinusuri ang isang potensyal na vulnerability. Isang oras at ilang minuto pagkatapos, ipinayo ng proyekto na agad na isarado ang LNbits servers dahil sa isang serye ng mga pag-atake. Ibinaba rin nito ang mga sariling hosted instance.
Hindi pa detalyado ng kumpanya ang paraan ng paggamit ng butas, pati na rin ang bilang ng mga naapektuhan. Sa isang pahayag na kasama ang emergency patch, sinabi ng LNbits na ang butas ay nakakaapekto sa lahat ng bersyon bago ang 1.7.0 at nagpapalabas ng panganib ng pagkakawala ng pera.
Babala rin ang LNbits na maaari pa ring magbigay ng pagkakataon sa mga hacker na makakuha ng access sa mga kredensyal na inilabas bago ang upgrade, at inihikayat nila ang mga operator na i-reset ang mga key ng wallet, palitan ang mga kredensyal ng pinagkukunan ng pondo, at ituring na nakalabas ang mga key na naka-store sa LNbits settings; kung may alinman sa pag-aalala na na-hack, inirerekumenda na lumipat sa isang bagong server.
Kinontak ng Cointelegraph si Ben Arc at ang LNbits para humingi ng komento.
Isinampa ni Kevin Ravensberg na ginamit ng mga attacker ang kanyang LNbits instance upang tarikan ang halos 2.3 milyong satoshis, o 0.023 BTC, bago niya ma-close ang server.
Sinabi ng kumpanya na magkakaroon pa ng hiwalay na ulat na maglalaman ng detalyadong paliwanag tungkol sa paggamit ng butas.