LNbits roept alle operators op hun Bitcoin Lightning wallet servers direct offline te halen vanwege een golf van aanvallen en nog uit te brengen beveiligingsupdates.
Het open-source Bitcoin Lightning wallet systeem LNbits heeft alle operators dringend verzocht hun servers onmiddellijk uit te schakelen vanwege een reeks gerichte aanvallen. Het project werkt aan meerdere beveiligingspatches die nog moeten worden uitgebracht en adviseert voorzichtigheid totdat deze updates beschikbaar zijn.
Een operator meldde dat aanvallers via een exploit nieuwe accounts aanmaakten en zo 2.285.545 satoshi, ongeveer 0,023 bitcoin, van zijn server wisten te stelen voordat hij de aanval kon stoppen. De oproep tot shutdown volgde ongeveer 80 minuten na een eerdere, beperktere waarschuwing waarin werd gevraagd de Paywall-extensie, die content achter een betaalmuur plaatst, uit te schakelen terwijl een mogelijke bug werd onderzocht. Tot 09:00 UTC was er nog geen patch beschikbaar en gaf het project geen aanvullende instructies om te controleren of servers waren getroffen.
Ontwikkelaar Ben Arc gaf aan dat de patches binnen 24 tot 48 uur na zijn bericht beschikbaar zouden zijn, wat betekent tussen ongeveer 14:00 UTC vandaag en 14:00 UTC morgen. Het project heeft ook alle LNbits-instanties op zijn cloudservice my.lnbits.com offline gehaald, met de verwachting dat deze binnen 24 uur weer online zijn.
De aanvallen vonden plaats tussen 09:22 en 14:00 UTC, ruim voor de eerste waarschuwing van het project. De getroffen operator Kevin Ravensberg heeft toegezegd gebruikers van BitTipBot, een Telegram-bot, te compenseren. Totdat de kwetsbaarheden zijn verholpen, kunnen gebruikers hun tegoeden niet benaderen. Inmiddels is bevestigd welke extensie-exploit is gebruikt, maar noch de operator noch het project heeft deze extensie of de Paywall-add-on expliciet genoemd in openbare berichten.
De waarschuwing en shutdown betreffen uitsluitend LNbits-servers en niet Lightning nodes of andere walletsoftware. Het is onbekend hoeveel servers zijn aangevallen en wat het totale verlies is.
