Платформа гаманця Lightning Network для біткойнів LNbits закликає користувачів негайно оновитися до останньої версії після того, як проект повідомив про серію атак на екземпляри LNbits, що призвели до крадіжки коштів.
Проект опублікував версію 1.7.0 у вівторок, назвавши її критичним оновленням, яке виправляє вразливості та підсилює аутентифікацію, управління розширеннями та обробку платежів. LNbits попереджає, що навіть після завершення оновлення середовище не буде автоматично безпечним, якщо облікові дані раніше були скомпрометовані.
Засновник LNbits Бен Арк у X сказав: «Останні кілька днів були дуже складними, ми та наші користувачі зазнали втрат, і ми безперервно працюємо, щоб якомога швидше випустити версію 1.7.»
LNbits надає програмне забезпечення для запуску гаманців та додатків для оплати через мережу Lightning Bitcoin, включаючи каси для бізнесу, сервіси чайових та платні стіни. У травні цього року розробник Бен Арк зазначив, що приблизно 200 000 осіб запускають це програмне забезпечення самостійно.
LNbits спочатку попередив операторів у неділю вимкнути розширення Paywall, поки розслідується потенційна вразливість. Більше ніж годину потому проект закликав користувачів негайно вимкнути сервери LNbits через хвилю атак, а також вивів із ладу власні хостинг-екземпляри.
Компанія ще не розкрила деталей про спосіб використання вразливості ні кількість постраждалих. У повідомленні, опублікованому разом з терміновим виправленням, LNbits зазначила, що вразливість стосується всіх версій раніше 1.7.0 і ставить під загрозу втрату коштів.
LNbits також попереджає, що облікові дані, які були виставлені на загрозу до оновлення, після оновлення все ще можуть надавати зловмисникам доступ, і закликає операторів скинути ключі гаманця, змінити облікові дані джерел коштів і вважати ключі, збережені в налаштуваннях LNbits, скомпрометованими; якщо є підозри щодо компрометації, рекомендується перейти на повністю новий сервер.
Cointelegraph звернувся до Ben Arc і LNbits із запитом на коментар.
Користувач Кевін Равенсберг зазначив, що зловмисники використали його екземпляр LNbits, щоб вивести приблизно 2,3 мільйони сатоші (0,023 BTC) через новостворені облікові записи, перш ніж він зміг вимкнути сервер.
Компанія заявила, що пізніше опублікує окремий звіт із детальним описом цього використання вразливості.