LNbits велел операторам серверов немедленно отключиться из-за уязвимости

Команда LNbits, открытого ПО для биткоин-кошельков на Lightning Network, в воскресенье, 8 ноября, потребовала от всех операторов серверов немедленно их остановить. Поводом стала волна атак на платформу.

Первый сигнал поступил около 12:33 UTC: разработчики попросили отключить расширение Paywall, которое берёт плату за доступ к контенту, сославшись на возможную ошибку. Спустя примерно 80 минут предупреждение распространили на все серверы LNbits, а собственный хостинг проекта my.lnbits.com отключили, пообещав вернуть его в течение суток — к 17:20 UTC понедельника. Срок прошёл, но о восстановлении так и не сообщили.

Подтверждённый ущерб понёс Кевин Равенсберг, владелец телеграм-сервиса чаевых BitTipBot: злоумышленники создали новые аккаунты на его сервере и вывели 2 285 545 сатоши — около 0,023 биткоина, или порядка 1700 долларов по воскресным ценам. Атака шла с 09:22 до 14:00 UTC 8 ноября, то есть более трёх часов до первого предупреждения проекта. Равенсберг заявил, что возместит пострадавшим ущерб из собственных средств, хотя сейчас эти деньги заморожены.

Разработчик Бен Арк в воскресенье говорил, что патч появится через 24–48 часов. Этот срок тоже истёк. 9 ноября в ветку разработки влили два изменения — №4310 и №4313: первое усиливает защиту от подделки запросов, второе отключает по умолчанию создание новых аккаунтов. В 01:51 UTC вышла тестовая сборка 1.7.0rc4, но на PyPI она помечена как предварительная, а последней стабильной версией на GitHub остаётся 1.6.2 от 18 сентября.

Проект не опубликовал идентификатор CVE и не назвал уязвимое расширение. Равенсберг утверждает, что разработчики выяснили, через какое расширение взломали именно его сервер, но публично это не раскрыто. Предупреждение касается только серверов LNbits и не затрагивает саму сеть Lightning или ПО вроде LND и Core Lightning.