Разработчики самостоятельного биткоин-кошелька LNbits выпустили 10 ноября экстренное обновление 1.7.0 после сообщений о кражах из-за уязвимости в расширении Paywall, говорится в объявлении LNbits о безопасности.
Уязвимость затронула все версии до 1.7.0: LNbits предупредила о ней операторов 8 ноября, указав на расширение Paywall. Судя по сообщениям о взломе, она позволяла создавать несанкционированные учетные записи и выводить через них средства; общий размер ущерба LNbits пока не назвала.
LNbits советует операторам считать потенциально скомпрометированными данные, которые могли быть раскрыты до патча, и предлагает:
- развернуть LNbits на новом сервере вместо обновления текущего;
- сбросить все ключи кошельков через настройки Super Admin;
- заменить учетные данные источников финансирования и переподключить внешние сервисы, включая NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat и FOSSA.
Команда LNbits предупредила, что горячие кошельки рискованны, поскольку доступ к ключам для трат есть у постоянно включенной системы, и посоветовала держать на них минимальный остаток, переводя остальные средства в холодное хранение.
Один из операторов, Кевин Равенсберг, сообщил о потере около 2,3 млн сатоши, то есть порядка 0,023 биткоина, из-за уязвимости. Создатель LNbits Бен Арк признал тяжесть этих дней: «Это были очень трудные несколько дней, и мы работали без остановки, чтобы выпустить версию 1.7 после того, как потери понесли и пользователи, и мы сами».
По оценке Арка, которую он привел в мае, программное обеспечение LNbits самостоятельно запускают около 200 000 операторов.
