LNbits waarschuwt voor aanval op self-hosted servers
LNbits meldt dat versies vóór 1.7.0 kwetsbaar zijn, na opnames uit self-hosted instanties. Beheerders moeten sleutels roteren en mogelijk servers volledig opnieuw opbouwen.
Korte samenvatting
- LNbits bracht versie 1.7.0 uit als urgente beveiligingsupdate na opnames uit self-hosted instanties op 8 november.
- Alle versies vóór 1.7.0 zijn getroffen; beheerders moeten upgraden, sleutels roteren en mogelijk servers opnieuw opbouwen.
- Bekend is dat BitTipBot 2.285.545 satoshi verloor; een totaalbeeld van de schade ontbreekt nog.
LNbits heeft versie 1.7.0 uitgebracht als urgente beveiligingsupdate nadat aanvallers op 8 november geld hadden opgenomen uit self-hosted LNbits-instanties. Het project zegt dat beheerders eerst moeten upgraden en de server daarna pas opnieuw moeten starten. Wie aanwijzingen ziet dat een server al is gecompromitteerd, moet volgens LNbits verder gaan dan alleen updaten en de omgeving volledig opnieuw opbouwen.
Wat LNbits nu vraagt
Volgens de upgrade-instructies zijn alle versies vóór 1.7.0 getroffen. LNbits waarschuwt dat fondsen op oudere versies gevaar lopen. Beheerders moeten daarom niet alleen de software bijwerken, maar ook als Super Admin alle gebruikerswallet-sleutels roteren, de inloggegevens van de funding source vervangen en andere geheimen vernieuwen. Dat geldt ook voor koppelingen van extensies zoals NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat en FOSSA.
Het project maakte op 8 november al duidelijk dat gebruikers hun servers direct moesten stoppen. LNbits zette toen ook de instanties op de eigen hosted dienst uit. De release van 1.7.0 volgt dus op een periode waarin het project eerst de schade probeerde te beperken en daarna de patch beschikbaar maakte.
Bekende schade blijft beperkt
De enige gekwantificeerde schade die tot nu toe bekend is, komt van Kevin Ravensberg, beheerder van de Telegram-tipservice BitTipBot. Hij meldde dat aanvallers op zijn instantie nieuwe accounts aanmaakten en 2.285.545 satoshi, ongeveer 0,0229 BTC, opnamen tussen circa 09:22 en 14:00 UTC op 8 november. Een totaalbeeld van de schade over alle getroffen instanties is er nog niet.
De release bevat naast de beveiligingsfixes ook hardening van authenticatie, extensiebeheer en betalingsverwerking. Daarnaast noemt LNbits nieuwe functies zoals on-chain wallet-ondersteuning, BOLT12 offer payments en TOTP-tweefactorauthenticatie. Het project zegt nog met een volledig technisch rapport over de kwetsbaarheid te komen.
Waarom dit ook buiten LNbits telt
Voor Europese crypto-gebruikers laat dit incident zien hoe snel een hot wallet-opzet risico kan opleveren als updates blijven liggen. Zeker bij self-hosted software ligt de verantwoordelijkheid voor patchen, sleutelbeheer en serverhygiëne volledig bij de beheerder. Dat maakt snelle beveiligingsupdates niet alleen een technisch detail, maar ook een direct onderdeel van het beschermen van BTC-fondsen.