Nền tảng ví Lightning Network của Bitcoin, LNbits, kêu gọi người dùng cập nhật ngay lên phiên bản mới nhất sau khi dự án báo cáo một làn sóng tấn công vào các thực thể LNbits khiến tài sản bị đánh cắp.
Dự án đã phát hành phiên bản 1.7.0 vào thứ Ba, cho biết đây là bản cập nhật quan trọng, khắc phục lỗ hổng và tăng cường xác thực, quản lý mở rộng và xử lý thanh toán. LNbits cảnh báo rằng ngay cả khi đã cập nhật, nếu thông tin xác thực đã bị rò rỉ trước đó, môi trường cài đặt vẫn không tự động trở nên an toàn.
Người sáng lập LNbits, Ben Arc, cho biết trên X: "Những ngày qua rất khó khăn, cả chúng tôi và người dùng đều chịu tổn thất, chúng tôi đã không ngừng nỗ lực để đẩy nhanh việc ra mắt phiên bản v1.7."
LNbits cung cấp phần mềm để chạy ví và ứng dụng thanh toán Bitcoin Lightning Network, bao gồm quầy thu ngân cho doanh nghiệp, dịch vụ tip và tường trả phí. Nhà phát triển Ben Arc cho biết vào tháng 5 năm nay, khoảng 200.000 người đã tự chạy phần mềm này.
LNbits ban đầu đã cảnh báo các nhà vận hành vô hiệu hóa phần mở rộng Paywall của họ vào Chủ Nhật, đồng thời điều tra một lỗ hổng tiềm ẩn. Hơn một giờ sau, dự án kêu gọi người dùng tắt ngay lập tức máy chủ LNbits do xảy ra làn sóng tấn công. Nó cũng đã tắt các phiên bản tự lưu trữ.
Công ty chưa tiết lộ chi tiết về cách khai thác lỗ hổng hoặc số lượng người dùng bị ảnh hưởng. Trong thông báo đi kèm bản vá khẩn cấp, LNbits cho biết lỗ hổng này ảnh hưởng đến tất cả các phiên bản trước 1.7.0 và khiến tài sản đối mặt với nguy cơ bị đánh cắp.
LNbits cũng cảnh báo rằng các thông tin xác thực đã bị lộ trước khi nâng cấp vẫn có thể cho phép kẻ tấn công truy cập sau khi nâng cấp, và khuyến nghị các nhà vận hành đặt lại khóa ví, thay đổi thông tin xác thực nguồn vốn, và coi các khóa được lưu trong cài đặt LNbits là đã bị xâm phạm; nếu nghi ngờ đã bị xâm nhập, nên chuyển sang máy chủ hoàn toàn mới.
Cointelegraph đã liên hệ với Ben Arc và LNbits để yêu cầu bình luận.
Một người dùng tên Kevin Ravensberg cho biết, kẻ tấn công đã lợi dụng instance LNbits của anh ấy để rút khoảng 2.300.000 satoshi, tương đương 0,023 BTC, trước khi anh ấy kịp tắt máy chủ.
The company stated that a separate report will be released later, providing detailed information about this exploit.