Обновление LNbits закрывает только один из четырёх уязвимых каналов доступа

Проект LNbits обнаружил уязвимость 8 ноября и в тот же день рекомендовал операторам отключить расширение Paywall, а затем полностью остановить серверы. Собственные хостинговые инстансы компания тоже отключила. 10 ноября вышла версия 1.7.0 с предупреждением: все более ранние версии затронуты, средства на них под угрозой. Основатель проекта Бен Арк подтвердил, что деньги потеряли и сам проект, и пользователи. Подробный отчёт о механизме атаки LNbits пока не опубликовала.

11 ноября вышла версия 1.7.1. В описании релиза указано, что она заменяет только ключ подписи авторизации: это завершает старые сессии входа, но не отзывает остальные учётные данные. В Start9, которая поставляет LNbits для серверов StartOS, пояснили, что операторам всё равно нужно вручную сбросить ключи кошельков, заменить данные для подключения к платёжному бэкенду и переподключить приложения и расширения.

У каждого кошелька в LNbits есть Admin-ключ — он позволяет отправлять платежи, и Invoice-ключ — он нужен для создания счетов и просмотра баланса. Оба остаются действительными до ручного сброса. Отдельная проблема — учётные данные платёжного бэкенда: LNbits не хранит биткоины сам, а передаёт платежи подключённому узлу LND, Core Lightning, Phoenixd или другому провайдеру. По данным Lightning Labs, если удалить файл макаруна LND с диска, это не отзовёт копию, которая уже есть у злоумышленника: узел продолжает принимать её, пока не изменён корневой ключ.

LNbits рекомендует операторам, которые подозревают компрометацию, развернуть новый сервер, предварительно сохранив логи и базу данных старого для расследования.