Platform dompet Bitcoin Lightning Network, LNbits, mendesak pengguna untuk segera memperbarui ke versi terbaru, menyusul laporan bahwa serangan terhadap contoh LNbits menyebabkan pencurian dana.
Proyek ini merilis versi 1.7.0 pada hari Selasa, menyebutnya sebagai pembaruan kritis yang memperbaiki kerentanan dan memperkuat otentikasi, manajemen ekstensi, serta pemrosesan pembayaran. LNbits memperingatkan bahwa bahkan setelah pembaruan selesai, lingkungan instalasi tidak akan otomatis aman jika kredensial sebelumnya telah bocor.
Pendiri LNbits, Ben Arc, mengatakan di X: "Beberapa hari terakhir sangat sulit; kami dan pengguna mengalami kerugian, dan kami terus berupaya keras untuk merilis versi 1.7 sesegera mungkin."
LNbits menyediakan perangkat lunak untuk menjalankan dompet dan aplikasi pembayaran Bitcoin Lightning Network, termasuk kasir pedagang, layanan tip, dan paywall. Pengembang Ben Arc menyatakan pada Mei tahun ini bahwa sekitar 200.000 orang menjalankan perangkat lunak ini secara mandiri.
LNbits awalnya memperingatkan operator pada hari Minggu untuk menonaktifkan ekstensi Paywall sambil menyelidiki kerentanan potensial. Lebih dari satu jam kemudian, proyek ini mendesak pengguna untuk segera mematikan server LNbits karena serangan massal. Proyek ini juga menurunkan instance yang dikelola sendiri.
Perusahaan belum menjelaskan secara rinci cara eksploitasi kerentanan tersebut maupun jumlah pengguna yang terdampak. Dalam pengumuman yang diterbitkan bersama patch darurat, LNbits menyatakan bahwa kerentanan ini memengaruhi semua versi sebelum 1.7.0 dan menimbulkan risiko pencurian dana.
LNbits juga memperingatkan bahwa kredensial yang telah terpapar sebelum pembaruan masih dapat memungkinkan penyerang mendapatkan akses setelah pembaruan, dan mendesak operator untuk mereset kunci dompet, mengganti kredensial sumber dana, dan menganggap kunci yang disimpan dalam pengaturan LNbits sebagai telah bocor; jika dicurigai telah disusupi, disarankan untuk bermigrasi ke server baru sepenuhnya.
Cointelegraph telah menghubungi Ben Arc dan LNbits untuk meminta komentar.
Seorang pengguna bernama Kevin Ravensberg menyatakan bahwa penyerang memanfaatkan instans LNbits-nya untuk menarik sekitar 2,3 juta satoshi, atau 0,023 BTC, sebelum ia sempat menutup server.
Perusahaan menyatakan akan merilis laporan terpisah yang menjelaskan rincian eksploitasi kerentanan ini.