ビットコインのライトニングネットワークウォレットプラットフォームLNbitsは、LNbitsインスタンスを対象とした攻撃により資金が盗まれたことを受けて、ユーザーに直ちに最新バージョンに更新するよう呼びかけています。
このプロジェクトは火曜日にバージョン1.7.0をリリースし、これはセキュリティ脆弱性を修正し、認証、拡張管理、支払い処理を強化する重要な更新であると述べました。LNbitsは、更新を完了しても、以前に資格情報が漏洩していた場合、インストール環境は自動的に安全にはならないと警告しています。
LNbitsの創設者Ben ArcはX上で、「過去数日は非常に厳しく、私たちとユーザー両方が損失を被りました。私たちはv1.7版の早期リリースに向けて絶えず努力してきました。」
LNbitsは、ビジネス用レジ、チップサービス、有料ウォールを含む、ビットコインのライトニングネットワークウォレットおよび支払いアプリを実行するためのソフトウェアを提供しています。開発者のBen Arcは今年5月、約20万人がこのソフトウェアを自ら実行していると述べました。
LNbitsは最初に日曜日に、運営側にPaywall拡張機能を一時無効にし、潜在的な脆弱性を調査するよう警告した。1時間以上後、同プロジェクトは一連の攻撃が発生したとして、ユーザーにLNbitsサーバーを即座に停止するよう促し、自社ホストインスタンスもオフラインにした。
同社は、脆弱性の悪用方法や影響を受けたユーザー数を詳細に明かしていません。緊急パッチとともに公開された公告で、LNbitsは、この脆弱性が1.7.0以前のすべてのバージョンに影響を与え、資金が盗まれるリスクにさらされていると述べています。
LNbitsは、アップグレード前に漏洩した認証情報が、アップグレード後も攻撃者がアクセスする可能性があることを警告し、ウォレットキーのリセットと資金元の認証情報の変更を推奨しています。LNbitsの設定に保存されたキーは漏洩済みと見なすべきであり、侵入が疑われる場合は、新しいサーバーへの移行を推奨します。
Cointelegraphは、Ben ArcおよびLNbitsにコメントを依頼しました。
ユーザーのKevin Ravensbergは、攻撃者が彼のLNbitsインスタンスを悪用し、新規アカウントを通じて約230万サトシ（0.023 BTC）を引き出した後、サーバーを停止できたと述べています。
同社は、今後、この脆弱性の悪用状況を詳細に説明する別途の報告書を発表すると述べました。