Après des signalements de vols de bitcoins liés à une faille dans son extension Paywall, l'équipe de LNbits, un portefeuille Lightning Network autohébergé, a publié le 10 novembre la version 1.7.0 en urgence, selon un avis de sécurité du projet.
La faille touchait toutes les versions antérieures à 1.7.0 : LNbits avait averti les opérateurs le 8 novembre, en pointant l'extension Paywall. D'après les signalements de l'intrusion, elle permettait de créer des comptes non autorisés et d'en détourner les fonds ; LNbits n'a pas chiffré l'ampleur totale des pertes.
LNbits conseille aux opérateurs de considérer comme potentiellement compromises les données qui auraient pu être exposées avant le correctif, et recommande de :
- déployer LNbits sur un nouveau serveur plutôt que de simplement mettre à jour l'installation existante ;
- réinitialiser toutes les clés de portefeuille depuis le panneau Super Admin ;
- remplacer les identifiants des sources de financement et reconnecter les services externes, dont NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.
L'équipe de LNbits a averti que les portefeuilles chauds présentent un risque, car le système qui détient les clés pour dépenser les fonds reste connecté en permanence, et a conseillé d'y garder un solde minimal en transférant le reste vers un stockage à froid.
Un opérateur, Kevin Ravensberg, a indiqué avoir perdu environ 2,3 millions de satoshis, soit près de 0,023 bitcoin, à cause de la faille. Le créateur de LNbits, Ben Arc, a reconnu la difficulté de ces journées : « Cela a été quelques jours très éprouvants, et nous avons travaillé sans relâche pour sortir la version 1.7 après que nos utilisateurs et nous-mêmes avons subi des pertes. »
Arc avait estimé en mai qu'environ 200 000 opérateurs faisaient tourner LNbits de manière autonome.
