LNbits avverte di un attacco ai server self-hosted
LNbits segnala che le versioni precedenti alla 1.7.0 sono vulnerabili, dopo prelievi da istanze self-hosted. Gli amministratori devono ruotare le chiavi e, se necessario, ricostruire completamente i server.
In breve
- LNbits ha rilasciato la versione 1.7.0 come aggiornamento di sicurezza urgente dopo prelievi da istanze self-hosted l'8 novembre.
- Tutte le versioni precedenti alla 1.7.0 sono colpite; gli amministratori devono aggiornare, ruotare le chiavi e, se necessario, ricostruire i server.
- È noto che BitTipBot ha perso 2.285.545 satoshi; manca ancora un quadro completo dei danni.
LNbits ha rilasciato la versione 1.7.0 come urgente aggiornamento di sicurezza dopo che degli attaccanti avevano prelevato fondi da istanze LNbits self-hosted l'8 novembre. Il progetto dice che gli amministratori devono prima aggiornare e solo dopo riavviare il server. Chi vede segnali che un server sia già stato compromesso deve, secondo LNbits, andare oltre il semplice aggiornamento e ricostruire completamente l'ambiente.
Cosa chiede ora LNbits
Secondo le istruzioni di aggiornamento, tutte le versioni precedenti alla 1.7.0 sono colpite. LNbits avverte che i fondi sulle versioni più vecchie sono a rischio. Gli amministratori devono quindi non solo aggiornare il software, ma anche, come Super Admin, ruotare le chiavi di tutti i wallet degli utenti, sostituire le credenziali della funding source e rinnovare gli altri segreti. Questo vale anche per le integrazioni delle estensioni come NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA.
Il progetto aveva già chiarito l'8 novembre che gli utenti dovevano fermare subito i propri server. LNbits aveva anche spento in quel momento le istanze sul proprio servizio hosted. Il rilascio della 1.7.0 arriva quindi dopo un periodo in cui il progetto ha prima cercato di limitare i danni e poi ha reso disponibile la patch.
I danni noti restano limitati
L'unico danno quantificato finora noto arriva da Kevin Ravensberg, amministratore del servizio di mance su Telegram BitTipBot. Ha riferito che gli attaccanti sulla sua istanza hanno creato nuovi account e prelevato 2.285.545 satoshi, circa 0,0229 BTC, tra le 09:22 e le 14:00 UTC dell'8 novembre. Non esiste ancora un quadro completo dei danni su tutte le istanze colpite.
Oltre alle correzioni di sicurezza, la release include anche un rafforzamento dell'autenticazione, della gestione delle estensioni e dell'elaborazione dei pagamenti. Inoltre LNbits cita nuove funzioni come il supporto ai wallet on-chain, i pagamenti BOLT12 offer e l'autenticazione a due fattori TOTP. Il progetto dice che arriverà ancora con un rapporto tecnico completo sulla vulnerabilità.
Perché conta anche fuori da LNbits
Per gli utenti crypto europei, questo incidente mostra quanto velocemente una configurazione hot wallet possa diventare rischiosa se gli aggiornamenti vengono rimandati. Soprattutto con il software self-hosted, la responsabilità di patching, gestione delle chiavi e igiene del server ricade interamente sull'amministratore. Questo rende gli aggiornamenti di sicurezza rapidi non solo un dettaglio tecnico, ma anche una parte diretta della protezione dei fondi BTC.