LNbits、11月8日の攻撃を受けて緊急セキュリティパッチ1.7.0をリリース

Bitcoin Magazine

Lightning NetworkウォレットおよびアカウントのためのオープンソースプラットフォームLNbitsは、11月10日にバージョン1.7.0を緊急セキュリティ修正としてリリースしました。すべてのオペレーターに対し、サーバーを再起動する前にアップグレードするよう指示が出されました。プロジェクトの公式Xアカウントはこの発表を共有し、GitHubリリースへのリンクを添えて、「セキュリティアップデート」であることを強調しました。

このリリースは、週末にかけて発生した一連の攻撃を受けたものです。11月8日、LNbitsはX上で、アクティブな攻撃を検出したためすべてのユーザーにLNbitsサーバーを直ちにシャットダウンするよう呼びかけ、セキュリティ修正を準備中であり、「慎重を期すに越したことはない」と付け加えました。

プロジェクトはまた、ホスト型サービス上のインスタンスを無効化しました。複数の報告によれば、不正なアカウント作成と資金の引き出しが行われました。

TelegramのチップサービスBitTipBotを運営するKevin Ravensberg氏は、攻撃者が彼のインスタンスに新しいアカウントを作成し、11月8日のUTC時間09:22から14:00の間に2,285,545サトシ（約0.0229 BTC）を引き出したと公に述べました。

リリースと同時に公開された公式アップグレードガイダンスによると、1.7.0より前のすべてのバージョンに脆弱性があり、「以前のバージョンのLNbitsで稼働している資金は盗まれるリスクがあります」。プロジェクトは、1.7.0には11月8日に発見されたインシデントに起因するセキュリティ修正が含まれており、エクスプロイトに関する完全な技術報告書は後日公開されると述べています。

オペレーターは、侵害が疑われる場合、新しいサーバーをセットアップするよう指示されています。更新だけでは攻撃者が既に持っているアクセス権を削除できないためです。追加の復旧手順には、Super Adminとしてすべてのユーザーウォレットキーをローテーションすること、APIキーやmacaroonなどの資金源の認証情報を置き換えること、設定内のその他のシークレットをローテーションすること、NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat、FOSSAなどの拡張機能の接続を確認または再構築することが含まれます。

GitHubのリリースノートには、認証、拡張機能管理、支払い処理にわたる広範なセキュリティ強化と、依存関係の更新が記載されています。このバージョンの新機能には、オンチェーンウォレットサポート、BOLT12オファー支払い、TOTP二要素認証、NIP-17サポート、ジョブスケジューラー、自動拡張機能更新、LNbits資金源のホールドインボイスサポートが含まれます。プロジェクトは、LNbitsはホットウォレットとして機能するため、オペレーターは運用残高のみをオンラインに保ち、定期的にアクティビティを確認し、超過資金をオフラインキーに転送する必要があると述べています。

LNbitsは2019年にBen Arcによって無料のオープンソースプロジェクトとして開始され、後に開発資金を調達するために商業エンティティを設立しました。LNbitsは、LNDやCore Lightningを含むあらゆるLightning資金源の上で、マルチユーザーアカウントと多数の拡張機能を提供します。Bitcoin Magazineは2024年9月にこのプロジェクトを特集し、「あなたのBitcoin LightningノードのためのWordPress」と呼び、個人、企業、ノードオペレーターがアクセスしやすいLightningツールとして広く使用されていることを指摘しました。このソフトウェアは、セルフホスト型およびマネージド型インスタンスの両方で広く展開されています。

v1.7.0の発表時点では、プロジェクトは影響を受けた全インスタンスで失われた資金の総額を公表していません。まだアップグレードしていないオペレーターは、サーバーを再稼働させる前に公式ガイダンスを参照するよう促されています。