LNbits met en garde contre une attaque visant des serveurs auto-hébergés
LNbits indique que les versions antérieures à 1.7.0 sont vulnérables, après des retraits depuis des instances auto-hébergées. Les administrateurs doivent faire tourner les clés et, éventuellement, reconstruire entièrement les serveurs.
À retenir
- LNbits a publié la version 1.7.0 comme mise à jour de sécurité urgente après des retraits depuis des instances auto-hébergées le 8 novembre.
- Toutes les versions antérieures à 1.7.0 sont concernées ; les administrateurs doivent mettre à niveau, faire tourner les clés et, éventuellement, reconstruire les serveurs.
- Il est établi que BitTipBot a perdu 2.285.545 satoshi ; il manque encore une vue d’ensemble des dégâts.
LNbits a publié la version 1.7.0 comme mise à jour de sécurité urgente après que des attaquants ont retiré des fonds le 8 novembre depuis des instances LNbits auto-hébergées. Le projet indique que les administrateurs doivent d’abord procéder à la mise à niveau, puis seulement redémarrer le serveur. Si des indices montrent qu’un serveur a déjà été compromis, LNbits estime qu’il faut aller au-delà de la simple mise à jour et reconstruire entièrement l’environnement.
Ce que LNbits demande désormais
Selon les instructions de mise à niveau, toutes les versions antérieures à 1.7.0 sont concernées. LNbits avertit que les fonds sur les anciennes versions sont en danger. Les administrateurs doivent donc non seulement mettre le logiciel à jour, mais aussi, en tant que Super Admin, faire tourner les clés de wallet de tous les utilisateurs, remplacer les identifiants de la source de financement et renouveler les autres secrets. Cela vaut aussi pour les intégrations d’extensions telles que NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.
Le projet avait déjà indiqué le 8 novembre que les utilisateurs devaient arrêter immédiatement leurs serveurs. LNbits avait alors aussi mis hors ligne les instances de son propre service hébergé. La sortie de la version 1.7.0 intervient donc après une période durant laquelle le projet a d’abord tenté de limiter les dégâts avant de rendre le correctif disponible.
Les dégâts connus restent limités
Le seul dommage chiffré connu à ce jour provient de Kevin Ravensberg, administrateur du service de pourboires Telegram BitTipBot. Il a indiqué que des attaquants avaient créé de nouveaux comptes sur son instance et retiré 2.285.545 satoshi, soit environ 0,0229 BTC, entre environ 09:22 et 14:00 UTC le 8 novembre. Il n’existe pas encore de vue d’ensemble des dégâts sur l’ensemble des instances touchées.
Outre les correctifs de sécurité, la version inclut aussi un renforcement de l’authentification, de la gestion des extensions et du traitement des paiements. LNbits mentionne également de nouvelles fonctions comme la prise en charge du wallet on-chain, les paiements BOLT12 offer et l’authentification à deux facteurs TOTP. Le projet dit qu’il publiera encore un rapport technique complet sur la vulnérabilité.
Pourquoi cela compte aussi au-delà de LNbits
Pour les utilisateurs européens de crypto, cet incident montre à quelle vitesse une configuration de hot wallet peut devenir risquée lorsque les mises à jour sont retardées. En particulier avec un logiciel auto-hébergé, la responsabilité des correctifs, de la gestion des clés et de l’hygiène des serveurs repose entièrement sur l’administrateur. Cela fait des mises à jour de sécurité rapides non seulement un détail technique, mais aussi un élément direct de la protection des fonds BTC.