LNbits 发布紧急 1.7.0 安全补丁，应对11月8日攻击事件

Bitcoin Magazine

LNbits，作为闪电网络钱包和账户的开源平台，于11月10日发布了版本1.7.0，并将其标记为紧急安全修复。所有运营者被告知在重启服务器前必须进行升级。该项目官方X账号发布了这一公告，并附上了 GitHub 发布页面 的链接，特别标注为“安全更新”。

此次更新是在上周末开始的一系列攻击事件之后推出的。11月8日，LNbits 在 X 平台上发帖称，所有用户应 立即关闭其 LNbits 服务器，此前已检测到活跃攻击，并补充说安全修复正在开发中，“宁可谨慎行事”。

该项目还停用了其托管服务上的实例。多份报告描述了未经授权的账户创建和资金提取情况。

运营 Telegram 打赏服务 BitTipBot 的 Kevin Ravensberg 公开表示，攻击者在其实例上创建了新账户，并在11月8日大约09:22至14:00 UTC 之间提取了 2,285,545 聪（约合 0.0229 BTC）。

根据随版本一同发布的 官方升级指南，所有早于 1.7.0 的版本都存在漏洞，“运行在早期 LNbits 版本上的资金面临被盗风险”。该项目称，1.7.0 版本包含针对11月8日发现的事件触发的安全修复，关于漏洞的完整技术报告将在稍后发布。

运营者被告知，如果怀疑系统已遭入侵，应搭建新服务器，因为仅更新无法移除攻击者可能已获得的访问权限。额外的恢复步骤包括：以超级管理员身份轮换每个用户的钱包密钥，更换资金源凭证（如API密钥或macaroon令牌），轮换设置中保存的其他密钥，以及审查或重建针对NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat和FOSSA等扩展的连接。

GitHub 发布说明描述了在认证、扩展管理和支付处理方面的广泛安全加固，以及依赖项更新。此版本的新功能包括链上钱包支持、BOLT12 报价支付、TOTP 双因素认证、NIP-17 支持、作业调度器、自动扩展更新以及 LNbits 资金源的持票发票支持。该项目表示，LNbits 充当热钱包，运营者应仅在线保留运营余额，定期审查活动，并将多余资金转移到离线密钥中。

LNbits 于2019年由 Ben Arc 作为免费开源项目启动，随后成立了商业实体以资助其开发。它提供 多用户账户 以及基于任何闪电网络资金源（包括LND和Core Lightning）的大量扩展。Bitcoin Magazine 于2024年9月对该项目进行了专题报道，称其为“你比特币闪电节点的WordPress”，并指出它在寻求便捷闪电网络工具的个人、企业和节点运营者中广泛使用。该软件广泛部署于自托管和托管实例中。

截至 v1.7.0 公告发布时，该项目尚未披露所有受影响实例的损失资金总额。尚未升级的运营者被指示在将服务器重新上线前参考官方指南。