El equipo de LNbits, software de monedero Lightning Network autoalojado, publicó la versión 1.7.0 el 10 de noviembre tras conocerse robos de bitcoin vinculados a un fallo en su extensión Paywall, según un aviso de seguridad del proyecto.
El fallo afectaba a todas las versiones anteriores a la 1.7.0: LNbits avisó a los operadores el 8 de noviembre y señaló la extensión Paywall como origen. Según los relatos del hackeo, permitía crear cuentas no autorizadas y sacar fondos a través de ellas; LNbits no ha dado una cifra del total de pérdidas.
LNbits recomienda a los operadores tratar como potencialmente comprometidas las credenciales que pudieran haberse expuesto antes del parche, y aconseja:
- desplegar LNbits en un servidor nuevo en lugar de limitarse a actualizar la instalación existente;
- renovar todas las claves de los monederos desde el panel de Super Admin;
- sustituir las credenciales de las fuentes de financiación y volver a conectar los servicios externos, entre ellos NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat y FOSSA.
LNbits advirtió de que los monederos calientes implican riesgo porque quien tiene las claves para gastar el dinero mantiene un sistema conectado de forma permanente, y recomendó mantener en ellos un saldo mínimo y trasladar el resto a almacenamiento en frío.
Uno de los operadores afectados, Kevin Ravensberg, dijo haber perdido unos 2,3 millones de satoshis, cerca de 0,023 bitcoin, por el fallo. Ben Arc, creador de LNbits, reconoció el desgaste de estos días: «Han sido unos días muy duros, trabajando sin parar para sacar la versión 1.7 después de que nuestros usuarios y nosotros mismos sufriéramos pérdidas».
Arc estimó en mayo que unos 200.000 operadores ejecutan LNbits de forma independiente.
