LNbits brengt urgente 1.7.0-beveiligingsupdate uit na aanvallen op servers

In dit artikel:

LNbits heeft op 10 november versie 1.7.0 uitgebracht als urgente beveiligingsupdate, nadat aanvallers op 8 november geld hadden opgenomen van self-hosted LNbits-servers. Volgens het project zijn alle versies vóór 1.7.0 kwetsbaar en lopen fondsen op ongepatchte installaties gevaar. LNbits adviseert beheerders hun server eerst bij te werken en pas daarna opnieuw te starten. Tijdens de aanvallen werden ook de instanties van de eigen hosted dienst stilgelegd.

De enige publiek bekende, concrete schade werd gemeld door Kevin Ravensberg, beheerder van BitTipBot. Op zijn instantie maakten aanvallers nieuwe accounts aan en namen zij tussen 09:22 en 14:00 UTC 2.285.545 satoshi op, ongeveer 0,0229 bitcoin. Een totaalbedrag voor alle getroffen servers is niet bekend.

Een update volstaat niet wanneer een server vermoedelijk is binnengedrongen. In dat geval moeten beheerders een nieuwe server opzetten en alle gevoelige gegevens vervangen: wallet-sleutels van gebruikers, API-sleutels of macaroons van de funding source en geheimen van gekoppelde extensies. Wie geen aanwijzingen voor misbruik ziet, moet eveneens direct upgraden. LNbits benadrukt daarnaast dat het platform als hot wallet moet worden gebruikt: alleen operationele middelen horen online te staan, overtollige fondsen offline.

Versie 1.7.0 bevat naast beveiligingsverbeteringen voor authenticatie, extensies en betalingsverwerking ook on-chain wallets, BOLT12-betalingen en TOTP-tweefactorauthenticatie. Een aangekondigd technisch rapport over de kwetsbaarheid is nog niet gepubliceerd.