Das Team hinter der selbst gehosteten Lightning-Network-Wallet-Software LNbits hat am 10. November die Version 1.7.0 veröffentlicht, nachdem Berichte über Bitcoin-Diebstähle im Zusammenhang mit einer Schwachstelle in der Paywall-Erweiterung aufgetaucht waren. Das geht aus einer Sicherheitsmitteilung von LNbits hervor.
Die Schwachstelle betraf alle Versionen vor 1.7.0: LNbits hatte Betreiber bereits am 8. November gewarnt und dabei auf die Paywall-Erweiterung hingewiesen. Berichten über den Vorfall zufolge ließ sich die Lücke nutzen, um nicht autorisierte Konten anzulegen und darüber Guthaben abzuziehen; die Gesamthöhe des Schadens hat LNbits bislang nicht beziffert.
LNbits rät Betreibern, Zugangsdaten, die vor dem Patch offengelegt worden sein könnten, als potenziell kompromittiert zu behandeln, und empfiehlt Folgendes:
- LNbits auf einem neuen Server aufsetzen, statt die bestehende Installation nur zu aktualisieren;
- alle Wallet-Schlüssel über das Super-Admin-Panel zurücksetzen;
- Zugangsdaten für Finanzierungsquellen ersetzen und externe Dienste neu verbinden, darunter NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA.
LNbits warnte zudem, dass Hot Wallets riskant sind, weil ein dauerhaft online laufendes System Zugriff auf die Schlüssel zum Ausgeben der Mittel hat, und riet Betreibern, dort nur minimale Guthaben zu halten und den Rest in Cold Storage zu verschieben.
Ein Betreiber, Kevin Ravensberg, gab an, durch die Schwachstelle rund 2,3 Millionen Satoshi verloren zu haben, umgerechnet etwa 0,023 Bitcoin. LNbits-Gründer Ben Arc räumte die Belastung der vergangenen Tage ein und sagte: „Es waren sehr schwierige Tage, in denen wir unablässig daran gearbeitet haben, die Version 1.7 herauszubringen, nachdem sowohl unsere Nutzer als auch wir selbst Verluste erlitten hatten.“
Arc schätzte im Mai, dass rund 200.000 Betreiber LNbits eigenständig betreiben.
