Zespół LNbits, twórca samodzielnie hostowanego portfela Lightning Network, wydał 10 listopada awaryjną wersję 1.7.0 po zgłoszeniach kradzieży bitcoinów związanych z podatnością w rozszerzeniu Paywall, podano w komunikacie LNbits dotyczącym bezpieczeństwa.
Podatność dotyczyła wszystkich wersji poprzedzających 1.7.0: LNbits ostrzegła operatorów 8 listopada, wskazując na rozszerzenie Paywall. Według zgłoszeń dotyczących włamania, umożliwiała ona tworzenie nieautoryzowanych kont i wyprowadzanie przez nie środków; LNbits nie podała jeszcze łącznej wysokości strat.
LNbits radzi operatorom, by dane, które mogły zostać ujawnione przed wydaniem poprawki, uznać za potencjalnie przejęte, i proponuje:
- wdrożenie LNbits na nowym serwerze zamiast aktualizacji obecnej instalacji;
- zresetowanie wszystkich kluczy portfeli w panelu Super Admin;
- zmianę danych dostępowych do źródeł finansowania i ponowne połączenie usług zewnętrznych, w tym NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat i FOSSA.
Zespół LNbits ostrzegł, że portfele typu hot wallet wiążą się z ryzykiem, ponieważ dostęp do kluczy umożliwiających wydawanie środków ma system działający bez przerwy, i zalecił trzymanie na nich minimalnego salda, a resztę środków przenosić do cold storage.
Jeden z operatorów, Kevin Ravensberg, zgłosił utratę około 2,3 mln satoshi, czyli około 0,023 bitcoina, w wyniku tej podatności. Twórca LNbits Ben Arc przyznał, że ostatnie dni były trudne: „To było bardzo wymagających kilka dni, pracowaliśmy bez przerwy, by wydać wersję 1.7 po stratach, jakie poniosli nasi użytkownicy i my sami”.
Jak szacował Arc w maju, LNbits samodzielnie uruchamia około 200 000 operatorów.
