LNbits Khởi Chạy Bản Vá Bảo Mật Khẩn Cấp 1.7.0 Sau Các Cuộc Tấn Công Ngày 8 Tháng 11

Bitcoin Magazine

LNbits, nền tảng mã nguồn mở cho các ví và tài khoản Lightning Network, đã phát hành phiên bản 1.7.0 vào ngày 10 tháng 11, gọi đây là một bản sửa lỗi bảo mật khẩn cấp. Tất cả người vận hành đều được yêu cầu nâng cấp trước khi khởi động lại máy chủ của họ. Tài khoản X chính thức của dự án đã chia sẻ thông báo và liên kết đến bản phát hành GitHub, gắn cờ đó là “CẬP NHẬT BẢO MẬT”.

Việc triển khai này diễn ra sau một loạt các cuộc tấn công bắt đầu vào cuối tuần. Vào ngày 8 tháng 11, LNbits đã đăng trên X rằng tất cả người dùng nên tắt ngay máy chủ LNbits của họ sau khi phát hiện các cuộc tấn công đang diễn ra, đồng thời nói thêm rằng các bản sửa lỗi bảo mật đang được thực hiện và “tốt hơn là phạm sai lầm về mặt thận trọng.”

Dự án cũng đã vô hiệu hóa các phiên bản trên dịch vụ lưu trữ của mình. Nhiều báo cáo mô tả việc tạo tài khoản trái phép và rút tiền.

Kevin Ravensberg, người điều hành dịch vụ tip Telegram BitTipBot, đã công khai nói rằng những kẻ tấn công đã tạo tài khoản mới trên phiên bản của anh ấy và rút ra 2,285,545 satoshis (khoảng 0.0229 BTC) trong khoảng từ 09:22 đến 14:00 UTC vào ngày 8 tháng 11.

Theo hướng dẫn nâng cấp chính thức được đưa ra cùng với bản phát hành, tất cả các phiên bản trước 1.7.0 đều dễ bị tổn thương và “các khoản tiền đang chạy trên các phiên bản trước của LNbits có nguy cơ bị đánh cắp.” Dự án cho biết 1.7.0 bao gồm các bản sửa lỗi bảo mật được kích hoạt bởi sự cố được phát hiện vào ngày 8 tháng 11 và một báo cáo kỹ thuật đầy đủ về lỗ hổng sẽ được đưa ra sau.

Người vận hành được yêu cầu thiết lập một máy chủ mới nếu họ nghi ngờ có sự xâm phạm, vì chỉ cập nhật không thể xóa quyền truy cập mà kẻ tấn công có thể đã có. Các bước khôi phục bổ sung bao gồm xoay vòng mọi khóa ví người dùng với tư cách Super Admin, thay thế thông tin xác thực nguồn tài trợ như API key hoặc macaroons, xoay vòng các bí mật khác được lưu trong cài đặt, và xem xét hoặc xây dựng lại các kết nối cho các tiện ích mở rộng như NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat, and FOSSA.

Các ghi chú phát hành trên GitHub mô tả việc tăng cường bảo mật sâu rộng trên các lĩnh vực xác thực, quản lý tiện ích mở rộng và xử lý thanh toán, cùng với các cập nhật phụ thuộc. Các tính năng mới trong phiên bản này bao gồm hỗ trợ ví trên chuỗi, thanh toán đề nghị BOLT12, xác thực hai yếu tố TOTP, hỗ trợ NIP-17, một công cụ lập lịch công việc, cập nhật tiện ích mở rộng tự động và hỗ trợ hóa đơn tạm giữ cho nguồn tài trợ LNbits. Dự án cho biết LNbits hoạt động như một ví nóng và người vận hành chỉ nên giữ số dư hoạt động trực tuyến, thường xuyên xem xét hoạt động và chuyển khoản tiền dư thừa sang các khóa ngoại tuyến.

LNbits được bắt đầu như một dự án mã nguồn mở và miễn phí vào năm 2019 bởi Ben Arc và sau đó thành lập một thực thể thương mại để tài trợ phát triển. Nó cung cấp tài khoản nhiều người dùng và một bộ tiện ích mở rộng lớn trên bất kỳ nguồn tài trợ Lightning nào, bao gồm LND và Core Lightning. Tạp chí Bitcoin Magazine đã giới thiệu dự án vào tháng 9 năm 2024, gọi nó là “WordPress cho nút Bitcoin Lightning của bạn” và lưu ý việc sử dụng rộng rãi của nó bởi các cá nhân, doanh nghiệp và người vận hành nút đang tìm kiếm các công cụ Lightning dễ tiếp cận. Phần mềm này được triển khai rộng rãi dưới dạng tự lưu trữ và được quản lý.

Kể từ thông báo v1.7.0, dự án vẫn chưa công bố tổng số tiền bị mất trên tất cả các phiên bản bị ảnh hưởng. Người vận hành chưa nâng cấp được hướng dẫn đến hướng dẫn chính thức trước khi đưa máy chủ trở lại trực tuyến.