LNbits ostrzega przed atakiem na serwery self-hosted
LNbits informuje, że wersje wcześniejsze niż 1.7.0 są podatne na atak po wypłatach z instancji self-hosted. Administratorzy muszą rotować klucze i możliwe, że całkowicie przebudować serwery.
Najważniejsze informacje
- LNbits wydał wersję 1.7.0 jako pilną aktualizację bezpieczeństwa po wypłatach z instancji self-hosted 8 listopada.
- Wszystkie wersje wcześniejsze niż 1.7.0 zostały dotknięte; administratorzy muszą zaktualizować system, zrotować klucze i możliwe, że przebudować serwery.
- Wiadomo, że BitTipBot stracił 2.285.545 satoshi; pełny obraz szkód wciąż nie jest znany.
LNbits wydał wersję 1.7.0 jako pilną aktualizację bezpieczeństwa po tym, jak 8 listopada atakujący wypłacili środki z instancji LNbits działających w modelu self-hosted. Projekt podaje, że administratorzy powinni najpierw zaktualizować system, a dopiero potem ponownie uruchomić serwer. Jeśli ktoś widzi oznaki, że serwer został już skompromitowany, LNbits zaleca pójść dalej niż samo zaktualizowanie i całkowicie przebudować środowisko.
Czego LNbits wymaga teraz
Z instrukcji aktualizacji wynika, że wszystkie wersje wcześniejsze niż 1.7.0 są dotknięte problemem. LNbits ostrzega, że środki na starszych wersjach są zagrożone. Administratorzy muszą więc nie tylko zaktualizować oprogramowanie, ale też jako Super Admin zrotować klucze wszystkich portfeli użytkowników, wymienić dane logowania do funding source i odświeżyć inne sekrety. Dotyczy to także integracji rozszerzeń takich jak NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat i FOSSA.
Projekt już 8 listopada jasno poinformował, że użytkownicy muszą natychmiast zatrzymać swoje serwery. LNbits wyłączył wtedy także instancje w swojej hostowanej usłudze. Wydanie 1.7.0 następuje więc po okresie, w którym projekt najpierw próbował ograniczyć szkody, a następnie udostępnił poprawkę.
Znane szkody pozostają ograniczone
Jedyna dotąd znana, policzalna szkoda pochodzi od Kevina Ravensberga, administratora usługi napiwków na Telegramie BitTipBot. Poinformował on, że atakujący utworzyli nowe konta na jego instancji i wypłacili 2.285.545 satoshi, czyli około 0,0229 BTC, między około 09:22 a 14:00 UTC 8 listopada. Pełny obraz szkód we wszystkich dotkniętych instancjach nadal nie jest dostępny.
Oprócz poprawek bezpieczeństwa wydanie zawiera także wzmocnienia uwierzytelniania, zarządzania rozszerzeniami i przetwarzania płatności. LNbits wymienia też nowe funkcje, takie jak on-chain obsługa portfeli, płatności BOLT12 offer oraz uwierzytelnianie dwuskładnikowe TOTP. Projekt zapowiada, że opublikuje jeszcze pełny raport techniczny dotyczący luki.
Dlaczego ma to znaczenie także poza LNbits
Dla europejskich użytkowników krypto ten incydent pokazuje, jak szybko konfiguracja hot wallet może stać się ryzykowna, jeśli aktualizacje są odkładane. Zwłaszcza w przypadku oprogramowania self-hosted odpowiedzialność za łatanie, zarządzanie kluczami i higienę serwera spoczywa w całości na administratorze. To sprawia, że szybkie aktualizacje bezpieczeństwa są nie tylko szczegółem technicznym, ale też bezpośrednim elementem ochrony środków BTC.