Розробники програмного забезпечення самостійного біткоїн-гаманця LNbits 10 листопада випустили термінове оновлення 1.7.0 після повідомлень про крадіжки через вразливість у розширенні Paywall, ідеться в оголошенні LNbits щодо безпеки.
Вразливість стосувалася всіх версій до 1.7.0: LNbits попередила про неї операторів 8 листопада, вказавши на розширення Paywall. Судячи з повідомлень про злам, вона давала змогу створювати несанкціоновані облікові записи та виводити через них кошти; загальний обсяг збитків LNbits наразі не назвала.
LNbits радить операторам вважати потенційно скомпрометованими дані, які могли бути розкриті до патча, і пропонує:
- розгорнути LNbits на новому сервері замість оновлення поточного;
- скинути всі ключі гаманців через налаштування Super Admin;
- замінити облікові дані джерел фінансування та повторно підключити зовнішні сервіси, зокрема NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat і FOSSA.
Команда LNbits попередила, що гарячі гаманці ризиковані, оскільки доступ до ключів для витрат має постійно увімкнена система, і порадила тримати на них мінімальний залишок, переказуючи решту коштів у холодне зберігання.
Один з операторів, Кевін Равенсберг, повідомив про втрату близько 2,3 млн сатоші, тобто приблизно 0,023 біткоїна, через вразливість. Засновник LNbits Бен Арк визнав тяжкість цих днів: «Це були дуже важкі кілька днів, і ми працювали без перерви, щоб випустити версію 1.7 після того, як втрати зазнали і користувачі, і ми самі».
За оцінкою Арка, яку він наводив у травні, програмне забезпечення LNbits самостійно запускають близько 200 000 операторів.
