LNbits выпустила экстренное обновление после краж средств из биткоин-кошельков

Что произошло

LNbits призвала пользователей немедленно обновиться до последней версии после серии атак на установки платформы, в результате которых были украдены средства.

Во вторник проект выпустил версию 1.7.0 и назвал ее критическим обновлением. Разработчики предупредили, что сама установка патча не защитит системы, если их учетные данные уже попали к злоумышленникам.

Подробности атаки

В воскресенье LNbits сначала рекомендовала операторам отключить расширение Paywall на время расследования потенциальной уязвимости. Более чем через час проект призвал немедленно выключить серверы LNbits, сославшись на волну атак. LNbits также отключила собственные экземпляры сервиса, размещенные на ее инфраструктуре.

Проект пока не раскрыл детали эксплойта и число пострадавших. По словам пользователя Kevin Ravensberg, злоумышленники использовали его установку LNbits и вывели около 2,3 млн сатоши, или 0,023 биткоина, через новые аккаунты до отключения сервера.

Почему это важно

LNbits предоставляет программное обеспечение для запуска кошельков Bitcoin Lightning и платежных приложений, включая решения для приема платежей продавцами, сервисы чаевых и платные страницы.

Разработчик Ben Arc заявлял в мае, что программой самостоятельно пользуются около 200 000 человек. На фоне атак проект призвал операторов обновить системы и заменить потенциально скомпрометированные учетные данные.

Контекст

Создатель LNbits Ben Arc написал в X, что последние несколько дней были очень сложными, а команда без перерыва работала над выпуском версии 1.7 после понесенных пользователями и проектом потерь.