LNbits 在 11 月 8 日攻擊後推出緊急 1.7.0 安全修補程式

Bitcoin Magazine

LNbits，這個用於 Lightning Network 錢包和帳戶的開源平台，在 11 月 10 日推出了 1.7.0 版本，稱其為緊急安全修復。所有操作員被告知在重新啟動伺服器之前進行升級。該項目的官方 X 帳號分享了此公告，並連結到 GitHub 版本，標記其為「安全更新」。

該版本推出之前，上週末發生了一系列攻擊。11 月 8 日，LNbits 在 X 上發文，要求所有用戶在偵測到攻擊後立即關閉其 LNbits 伺服器，並表示安全修復正在進行中，且「寧可謹慎為上」。

該項目還停用了其代管服務上的實例。多份報告描述了未經授權的帳號建立和資金提領。

Kevin Ravensberg，營運 Telegram 小費服務 BitTipBot 的人，公開表示攻擊者在他的實例上建立新帳號，並在 11 月 8 日約 09:22 至 14:00 UTC 之間提取了 2,285,545 satoshis（約 0.0229 BTC）。

根據隨版本發布的官方升級指南，所有 1.7.0 之前的版本都有漏洞，且「在 LNbits 先前版本上運行的資金有被竊取的風險。」該項目表示，1.7.0 包含了針對 11 月 8 日發現的事件所觸發的安全性修復，完整的漏洞技術報告將稍後公布。

操作員若懷疑遭入侵，應設置新的伺服器，因為僅更新無法消除攻擊者可能已取得的存取權。其他復原步驟包括以超級管理員身分輪換每個使用者錢包金鑰、更換資金來源憑證（例如 API 金鑰或 macaroon）、輪換設定中保存的其他機密，並檢視或重建擴充功能的連線，例如 NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat 和 FOSSA。

GitHub 版本說明記載了廣泛的安全性強化，涵蓋驗證、擴充功能管理和付款處理，以及相依性更新。此版本的新功能包括鏈上錢包支援、BOLT12 付款提案、TOTP 雙重驗證、NIP-17 支援、工作排程器、自動擴充功能更新，以及 LNbits 資金來源的持有發票支援。該項目表示，LNbits 作為熱錢包運作，操作員應僅在線上保留營運餘額，定期檢視活動，並將多餘資金轉移至離線金鑰。

LNbits 於 2019 年由 Ben Arc 以自由開源專案的形式創立，後來成立商業實體以資助開發。它在任何 Lightning 資金來源（包括 LND 和 Core Lightning）之上提供多使用者帳號和大量的擴充功能。Bitcoin Magazine 於 2024 年 9 月介紹了該專案，稱其為「你的 Bitcoin Lightning 節點的 WordPress」，並指出它被個人、企業和尋求易用 Lightning 工具的節點操作者廣泛使用。該軟體以自架和代管兩種形式廣泛部署。

截至 v1.7.0 公告發布時，該項目尚未公布所有受影響實例的總損失金額。尚未升級的操作員應在重新上線伺服器前參閱官方指南。