LNbits เปิดตัวแพตช์รักษาความปลอดภัยด่วนเวอร์ชัน 1.7.0 หลังจากการโจมตีเมื่อวันที่ 8 พฤศจิกายน

Bitcoin Magazine

LNbits แพลตฟอร์มโอเพนซอร์สสำหรับกระเป๋าเงินและบัญชีของ Lightning Network เปิดตัวเวอร์ชัน 1.7.0 ในวันที่ 10 พฤศจิกายน โดยระบุว่าเป็นการแก้ไขด้านความปลอดภัยอย่างเร่งด่วน ผู้ปฏิบัติงานทุกคนได้รับคำสั่งให้อัปเกรดก่อนที่จะรีสตาร์ทเซิร์ฟเวอร์ บัญชี X อย่างเป็นทางการของโครงการได้แชร์ประกาศดังกล่าวและมีลิงก์ไปยัง GitHub release โดยระบุว่าเป็น "SECURITY UPDATE"

การเปิดตัวดังกล่าวเกิดขึ้นหลังจากการโจมตีที่เริ่มต้นขึ้นในช่วงสุดสัปดาห์ เมื่อวันที่ 8 พฤศจิกายน LNbits โพสต์บน X ว่าผู้ใช้ทุกคนควร ปิดเซิร์ฟเวอร์ LNbits ทันที หลังจากตรวจพบการโจมตีที่กำลังดำเนินอยู่ โดยเสริมว่าการแก้ไขด้านความปลอดภัยกำลังอยู่ในระหว่างดำเนินการ และเป็นการ "ดีกว่าที่จะระวังไว้ก่อน"

โครงการยังได้ปิดการใช้งานอินสแตนซ์บนบริการโฮสต์ของตน มีรายงานหลายฉบับอธิบายถึงการสร้างบัญชีโดยไม่ได้รับอนุญาตและการถอนเงิน

Kevin Ravensberg ผู้ให้บริการทิป Telegram ชื่อ BitTipBot กล่าวต่อสาธารณะว่าผู้โจมตีสร้างบัญชีใหม่บนอินสแตนซ์ของเขาและดึงเงินออกไป 2,285,545 satoshis (ประมาณ 0.0229 BTC) ระหว่างเวลา 09:22 ถึง 14:00 UTC ในวันที่ 8 พฤศจิกายน

ตาม คำแนะนำการอัปเกรดอย่างเป็นทางการ ที่เผยแพร่ควบคู่ไปกับการเปิดตัวนี้ ทุกเวอร์ชันก่อน 1.7.0 มีความเสี่ยงและ "เงินที่ทำงานบน LNbits เวอร์ชันก่อนหน้ามีความเสี่ยงที่จะถูกขโมย" โครงการระบุว่า 1.7.0 มีการแก้ไขด้านความปลอดภัยที่เกิดจากเหตุการณ์ที่ค้นพบเมื่อวันที่ 8 พฤศจิกายน และรายงานทางเทคนิคฉบับเต็มเกี่ยวกับการโจมตีจะมาในภายหลัง

ผู้ปฏิบัติงานได้รับคำแนะนำให้ตั้งค่าเซิร์ฟเวอร์ใหม่หากสงสัยว่ามีการบุกรุก เนื่องจากการอัปเดตเพียงอย่างเดียวไม่สามารถลบการเข้าถึงที่ผู้โจมตีอาจมีอยู่แล้วได้ ขั้นตอนการกู้คืนเพิ่มเติมรวมถึงการหมุนคีย์กระเป๋าเงินผู้ใช้ทุกคนในฐานะ Super Admin การเปลี่ยนข้อมูลประจำตัวของแหล่งเงินทุน เช่น API keys หรือ macaroons การหมุนความลับอื่น ๆ ที่เก็บไว้ในการตั้งค่า และการตรวจสอบหรือสร้างการเชื่อมต่อสำหรับส่วนขยายใหม่ เช่น NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat และ FOSSA

บันทึกการเปิดตัวบน GitHub อธิบายการเสริมความแข็งแกร่งด้านความปลอดภัยอย่างครอบคลุมทั่วทั้งการรับรองความถูกต้อง การจัดการส่วนขยาย และการจัดการการชำระเงิน พร้อมกับการอัปเดตการพึ่งพา คุณสมบัติใหม่ในเวอร์ชันนี้รวมถึงการรองรับกระเป๋าเงินบนเชน, การชำระเงิน BOLT12 offer, การยืนยันตัวตนสองปัจจัย TOTP, การรองรับ NIP-17, ตัวกำหนดตารางงาน, การอัปเดตส่วนขยายอัตโนมัติ และการรองรับ hold invoice สำหรับแหล่งเงินทุน LNbits โครงการระบุว่า LNbits ทำหน้าที่เป็นกระเป๋าเงินร้อน และผู้ปฏิบัติงานควรเก็บเฉพาะยอดเงินที่จำเป็นในการดำเนินการไว้ในระบบ ตรวจสอบกิจกรรมอย่างสม่ำเสมอ และโอนเงินส่วนเกินไปยังคีย์แบบออฟไลน์

LNbits เริ่มต้นเป็นโครงการโอเพนซอร์สฟรีในปี 2019 โดย Ben Arc และต่อมาได้จัดตั้งนิติบุคคลเชิงพาณิชย์เพื่อเป็นทุนในการพัฒนา มันนำเสนอ บัญชีผู้ใช้หลายคน และชุดส่วนขยายขนาดใหญ่บนพื้นฐานของแหล่งเงินทุน Lightning ใด ๆ รวมถึง LND และ Core Lightning Bitcoin Magazine นำเสนอโครงการนี้ในเดือนกันยายน 2024 โดยเรียกมันว่า "WordPress สำหรับ Bitcoin Lightning node ของคุณ" และสังเกตการใช้งานอย่างแพร่หลายโดยบุคคล ธุรกิจ และผู้ดำเนินการโหนดที่ต้องการเครื่องมือ Lightning ที่เข้าถึงได้ ซอฟต์แวร์นี้ถูกปรับใช้อย่างกว้างขวางทั้งในรูปแบบอินสแตนซ์ที่โฮสต์เองและที่จัดการ

ณ เวลาที่ประกาศ v1.7.0 โครงการยังไม่ได้เปิดเผยจำนวนเงินทั้งหมดที่สูญเสียไปในทุกอินสแตนซ์ที่ได้รับผลกระทบ ผู้ปฏิบัติงานที่ยังไม่ได้อัปเกรดจะถูกชี้ไปที่คำแนะนำอย่างเป็นทางการก่อนที่จะนำเซิร์ฟเวอร์กลับมาออนไลน์