LNbits 1.7.0 usuwa skutki incydentu bezpieczeństwa po atakach z 8 listopada

Pilne wydanie po zgłoszonych atakach

LNbits wydał 10 listopada wersję 1.7.0, określając ją jako pilną aktualizację zabezpieczeń i zalecając operatorom aktualizację przed ponownym uruchomieniem serwerów. Wydanie było następstwem aktywnych ataków zgłoszonych przez projekt 8 listopada. Ta kolejność ma znaczenie dla operatorów, ponieważ ostrzeżenie nie dotyczyło jedynie instalacji rutynowej aktualizacji oprogramowania: LNbits wcześniej polecił użytkownikom zatrzymać serwery na czas przygotowywania poprawek, a nowe wytyczne informują, że starsze wersje nadal są narażone na ataki.

W komunikacie z 8 listopada projekt wezwał wszystkich użytkowników do natychmiastowego zatrzymania serwerów LNbits i stwierdził, że lepiej zachować nadmierną ostrożność. Wyłączył również instancje w swojej usłudze hostowanej. Działanie to wskazuje, że reakcja objęła zarówno operatorów utrzymujących serwery samodzielnie, jak i własne środowisko hostowane projektu, choć źródło nie podaje, ile instancji zostało dotkniętych problemem ani nie przedstawia pełnego opisu zakłóceń.

Pojawiły się doniesienia o nieautoryzowanym tworzeniu kont, po którym następowały wypłaty z instancji LNbits. Kevin Ravensberg, który prowadzi usługę napiwków w Telegramie BitTipBot, poinformował, że napastnicy założyli nowe konta w jego instancji i wypłacili 2 285 545 satoshi, czyli około 0,0229 BTC. Do tych działań miało dojść między około 09:22 a 14:00 UTC 8 listopada. To udokumentowany przypadek, a nie opublikowana łączna kwota strat w całym ekosystemie LNbits.

Wskazówki dotyczące aktualizacji obejmują więcej niż samo zainstalowanie poprawki

Zgodnie z zaleceniami dotyczącymi aktualizacji LNbits zagrożone są wersje wcześniejsze niż 1.7.0, a środki przechowywane na tych wersjach mogą zostać skradzione. W praktyce należy zainstalować nowe wydanie przed ponownym uruchomieniem serwera, zamiast uznawać wcześniejsze zalecenie wyłączenia go za koniec działań zaradczych. Projekt informuje, że wersja zawiera poprawki bezpieczeństwa dotyczące incydentu wykrytego 8 listopada, ale nie opublikował jeszcze pełnego technicznego opisu exploita.

Operatorom, którzy podejrzewają, że ich instancja została przejęta, zaleca się skonfigurowanie nowego serwera. LNbits wyraźnie ostrzega, że sama aktualizacja nie usuwa dostępu, który napastnik mógł już uzyskać. To istotne rozróżnienie: poprawka eliminuje podatność w oprogramowaniu, natomiast odbudowa serwera jest przedstawiana jako sposób reagowania na możliwy utrzymujący się dostęp. Z zaleceń nie wynika, że każdy operator musi uruchomić nowy serwer — ten krok jest zalecany w razie podejrzenia przejęcia.

Lista działań naprawczych obejmuje również rotację kluczy wszystkich portfeli użytkowników z uprawnieniami Super Admin, wymianę danych uwierzytelniających źródeł finansowania, takich jak klucze API lub macaroon, oraz zmianę innych sekretów zapisanych w ustawieniach. Działania te uwzględniają różne rodzaje informacji, które napastnik mógłby wykorzystać po uzyskaniu dostępu. Operatorzy powinni także sprawdzić lub odtworzyć połączenia z rozszerzeniami, aby odzyskiwanie nie ograniczało się wyłącznie do głównej aplikacji LNbits ani danych logowania używanych do jej zasilania.

Wraz z nowymi funkcjami pojawiają się ulepszenia zabezpieczeń

Wśród wymienionych rozszerzeń i połączeń znajdują się NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat i FOSSA. Ich uwzględnienie sprawia, że zakres działań naprawczych jest szerszy niż samo zresetowanie hasła: operatorzy muszą ocenić integracje powiązane z ich instancjami i ustalić, czy należy wymienić dane uwierzytelniające lub połączenia. Źródło wymienia te elementy jako część wskazówek dotyczących odzyskiwania dostępu, ale nie twierdzi, że każde z wymienionych rozszerzeń było przyczyną ataków.

Projekt opisuje LNbits jako gorący portfel i zaleca operatorom, by trzymali online tylko środki potrzebne do bieżącej działalności, regularnie sprawdzali aktywność i przenosili nadwyżki na klucze offline. Te środki ostrożności są szczególnie istotne, dopóki nie opublikowano szczegółów technicznych incydentu ani pełnych danych o stratach. Nie zastępują instalacji aktualizacji zabezpieczeń ani wykonania kroków odzyskiwania w przypadku podejrzenia przejęcia; opisują, jak operatorzy mogą ograniczyć ilość środków przechowywanych online i monitorować aktywność.

W informacjach o wydaniu na GitHubie wersję 1.7.0 opisano jako rozbudowane wzmocnienie zabezpieczeń w obszarach uwierzytelniania, zarządzania rozszerzeniami i obsługi płatności, a także aktualizację zależności. Te kategorie pokazują, że wydanie obejmuje kilka części oprogramowania, zamiast wprowadzać tylko jedną widoczną zmianę. Jednak bez zapowiadanego pełnego raportu technicznego źródło nie wskazuje dokładnej luki ani nie wyjaśnia, który z tych obszarów wykorzystano w incydencie z 8 listopada.

Zakres narażenia i łączne straty pozostają niejasne

Wersja 1.7.0 wprowadza też funkcje niezwiązane bezpośrednio z reakcją na incydent: obsługę portfeli on-chain, płatności za oferty BOLT12, uwierzytelnianie dwuskładnikowe TOTP, obsługę NIP-17 i harmonogram zadań. Wydanie zawiera ponadto automatyczne aktualizacje rozszerzeń oraz obsługę faktur hold dla źródła finansowania LNbits. Dodanie tych funkcji w tej samej wersji rozszerza jej możliwości, ale główne zalecenie projektu pozostaje związane z bezpieczeństwem: operatorzy powinni zaktualizować oprogramowanie przed ponownym uruchomieniem serwerów.

Projekt LNbits powstał w 2019 roku jako bezpłatny projekt open source założony przez Bena Arca, a później utworzono podmiot komercyjny wspierający jego rozwój. Oferuje konta dla wielu użytkowników i szeroki zestaw rozszerzeń opartych na źródłach finansowania Lightning, takich jak LND i Core Lightning. Z oprogramowania korzysta się zarówno w instancjach hostowanych samodzielnie, jak i zarządzanych, więc ostrzeżenie z 8 listopada dotyczy ekosystemu o różnych modelach działania, a nie tylko jednego sposobu wdrożenia.

W profilu opublikowanym we wrześniu 2024 roku przez Bitcoin Magazine opisano LNbits jako WordPressa dla węzła Bitcoin Lightning i odnotowano, że korzystają z niego osoby prywatne, firmy oraz operatorzy węzłów poszukujący łatwo dostępnych narzędzi Lightning. Łączny wpływ finansowy incydentu pozostaje nieznany: LNbits nie opublikował łącznej kwoty środków utraconych we wszystkich zaatakowanych instancjach, a pełny raport techniczny nie jest jeszcze gotowy. Do czasu udostępnienia tych informacji operatorzy powinni zapoznać się z oficjalnymi wytycznymi, zanim ponownie uruchomią serwery.

Źródło: BitcoinMagazine