Платформа кошелька Lightning Network для биткоина LNbits призывает пользователей немедленно обновиться до последней версии после того, как проект сообщил о серии атак на экземпляры LNbits, приведших к краже средств.
Проект выпустил версию 1.7.0 во вторник, назвав её критическим обновлением, которое устраняет уязвимости и улучшает аутентификацию, управление расширениями и обработку платежей. LNbits предупреждает, что даже после обновления установка не станет автоматически безопасной, если учетные данные ранее были скомпрометированы.
Основатель LNbits Бен Арк на X сказал: «Последние дни были очень тяжелыми, мы и наши пользователи понесли потери, и мы неустанно работаем, чтобы как можно скорее выпустить версию 1.7».
LNbits предоставляет программное обеспечение для запуска кошельков и приложений платежей Bitcoin Lightning Network, включая кассы для продавцов, сервисы чаевых и платные стены. В мае этого года разработчик Бен Арк заявил, что примерно 200 000 человек самостоятельно запускают это программное обеспечение.
LNbits в воскресенье первоначально предупредил операторов отключить расширение Paywall до завершения расследования потенциальной уязвимости. Более чем через час проект призвал пользователей немедленно отключить серверы LNbits из-за волны атак и отключил собственные инстансы с самохостингом.
Компания еще не уточнила способ эксплуатации уязвимости и количество пострадавших. В объявлении, опубликованном вместе с экстренным исправлением, LNbits заявила, что уязвимость затрагивает все версии до 1.7.0 и подвергает средства риску кражи.
LNbits также предупреждает, что учетные данные, подвергшиеся экспозиции до обновления, могут после обновления по-прежнему предоставлять злоумышленникам доступ, и настоятельно рекомендует операторам сбросить ключи кошелька, заменить учетные данные источников средств и считать ключи, хранящиеся в настройках LNbits, скомпрометированными; если есть подозрения на компрометацию, рекомендуется перейти на полностью новый сервер.
Cointelegraph связался с Ben Arc и LNbits для получения комментариев.
Пользователь Кевин Равенсберг сообщил, что злоумышленники воспользовались его LNbits-инстансом и вывели около 2,3 миллиона сатоши, то есть 0,023 BTC, прежде чем он успел отключить сервер.
Компания заявила, что позже будет опубликован отдельный отчет с подробным описанием этой уязвимости.