LNbits 1.7.0 устраняет последствия инцидента безопасности после атак 8 ноября

Срочный выпуск после сообщений об атаках

10 ноября LNbits выпустил версию 1.7.0, назвав ее срочным обновлением безопасности и призвав операторов обновиться до перезапуска серверов. Выпуск последовал за активными атаками, о которых проект сообщил 8 ноября. Эта последовательность важна для операторов: предупреждение касалось не просто установки планового обновления ПО. Ранее LNbits уже призвал пользователей остановить серверы на время подготовки исправлений, а в новых рекомендациях говорится, что старые версии по-прежнему уязвимы.

В уведомлении от 8 ноября проект призвал всех пользователей немедленно остановить серверы LNbits и заявил, что лучше перестраховаться. Кроме того, проект отключил экземпляры на своем хостинге. Это указывает на то, что меры затронули как операторов, размещающих сервис самостоятельно, так и собственную хостинговую среду проекта, хотя источник не сообщает, сколько экземпляров пострадало, и не дает полного описания перебоев.

В сообщениях описывались случаи несанкционированного создания аккаунтов с последующим выводом средств из экземпляров LNbits. Кевин Равенсберг, оператор сервиса чаевых в Telegram BitTipBot, сообщил, что злоумышленники создали новые аккаунты в его экземпляре и вывели 2 285 545 сатоши — примерно 0,0229 BTC. По его оценке, активность происходила 8 ноября примерно с 09:22 до 14:00 UTC. Это задокументированный случай, а не опубликованная общая сумма потерь во всей экосистеме LNbits.

Рекомендации по обновлению не ограничиваются установкой исправления

В рекомендациях LNbits по обновлению указано, что затронуты версии ниже 1.7.0, а средства в таких версиях находятся под угрозой кражи. На практике сервер следует снова подключать к сети только после установки обновления, а не считать прежнее уведомление о выключении окончанием реагирования на инцидент. Проект сообщает, что в этой версии содержатся исправления безопасности для инцидента, обнаруженного 8 ноября, но пока не опубликовал полный технический разбор уязвимости.

Операторам, подозревающим, что их экземпляр был скомпрометирован, рекомендуется развернуть новый сервер. LNbits особо предупреждает, что одно лишь обновление не лишит злоумышленника доступа, который он, возможно, уже получил. Это различие важно: исправление устраняет уязвимость в программном обеспечении, а пересоздание сервера предлагается как мера на случай сохранения доступа. В рекомендациях не говорится, что новый сервер необходим каждому оператору: этот шаг требуется лишь при подозрении на компрометацию.

В список мер по восстановлению также входят смена ключей всех пользовательских кошельков в роли суперадминистратора, замена учётных данных источников пополнения, например API-ключей или macaroon-токенов, и изменение других секретов, сохранённых в настройках. Эти меры учитывают широкий спектр данных, которыми злоумышленник может воспользоваться после получения доступа. Операторам также предлагают проверить или заново настроить подключения расширений, поэтому восстановление не ограничивается основным приложением LNbits или учётными данными для пополнения средств.

Усиление безопасности сопровождается новыми функциями

Среди упомянутых расширений и подключений — NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat и FOSSA. Их включение расширяет практические рамки реагирования: операторам необходимо оценить интеграции, связанные с их экземплярами, и определить, следует ли заменить учетные данные или подключения. Источник приводит этот список в рамках рекомендаций по восстановлению, однако не утверждает, что каждое из названных расширений само по себе стало причиной атак.

В проекте LNbits описывается как горячий кошелёк, и операторам рекомендуется держать онлайн только средства, необходимые для текущей работы, регулярно проверять активность и переводить излишки на офлайн-ключи. Эти меры особенно актуальны, пока технические подробности инцидента и полный размер потерь не опубликованы. Они не заменяют установку обновления безопасности или выполнение инструкций по восстановлению, если есть подозрение на компрометацию; их цель — помочь операторам ограничить объём средств, хранящихся онлайн, и отслеживать активность.

В примечаниях к выпуску на GitHub версия 1.7.0 описана как масштабное усиление безопасности в области аутентификации, управления расширениями и обработки платежей, а также обновление зависимостей. Эти категории показывают, что изменения затрагивают несколько частей программы, а не ограничиваются одним заметным нововведением. Однако, пока не опубликован обещанный полный технический отчёт, в источнике не указано, в чём именно заключалась уязвимость и какие из этих областей подверглись атаке в ходе инцидента 8 ноября.

Масштаб инцидента и общая сумма потерь пока неясны

В версии 1.7.0 появились и функции, не связанные напрямую с мерами безопасности: поддержка ончейн-кошельков, оплата предложений BOLT12, двухфакторная аутентификация TOTP, поддержка NIP-17 и планировщик заданий. В выпуск также вошли автоматическое обновление расширений и поддержка инвойсов с удержанием для источника финансирования LNbits. Эти нововведения расширяют функциональность версии, но основная рекомендация проекта остаётся связанной с безопасностью: перед перезапуском серверов операторам следует установить обновление.

LNbits появился в 2019 году как бесплатный проект с открытым исходным кодом, основанный Беном Арком. Позже для поддержки разработки была создана коммерческая организация. LNbits предоставляет многопользовательские аккаунты и большой набор расширений, работающих с источниками финансирования Lightning, включая LND и Core Lightning. Программа используется как в самостоятельно размещённых, так и в управляемых экземплярах, поэтому предупреждение от 8 ноября касается экосистемы с разными вариантами эксплуатации, а не только одной модели развёртывания.

В профиле LNbits, опубликованном Bitcoin Magazine в сентябре 2024 года, сервис назвали WordPress для узла Bitcoin Lightning и отметили, что им пользуются частные лица, компании и операторы узлов, которым нужны доступные инструменты Lightning. Совокупный финансовый ущерб от инцидента пока неизвестен: LNbits не публиковал общую сумму средств, потерянных на затронутых экземплярах, а полный технический отчёт ещё не готов. Пока эти сведения недоступны, операторам рекомендуют следовать официальным инструкциям, прежде чем снова вводить серверы в эксплуатацию.

Источник: BitcoinMagazine