LNbits 1.7.0 усуває наслідки інциденту безпеки після атак 8 листопада

Терміновий реліз після повідомлень про атаки

10 листопада LNbits випустив версію 1.7.0, назвавши її терміновим оновленням безпеки та закликавши операторів оновитися перед перезапуском серверів. Реліз вийшов після активних атак, про які проєкт повідомив 8 листопада. Ця послідовність важлива для операторів, адже попередження стосувалося не просто встановлення планового оновлення програмного забезпечення: LNbits уже закликав користувачів зупинити сервери, поки готувалися виправлення, а в нових рекомендаціях зазначено, що старіші версії й надалі залишаються вразливими.

У повідомленні від 8 листопада проєкт закликав усіх користувачів негайно зупинити сервери LNbits і зазначив, що краще перестрахуватися. Також він вимкнув екземпляри у своєму хостинговому сервісі. Це свідчить, що заходи охоплювали як операторів із власним хостингом, так і власне хостингове середовище проєкту, хоча в джерелі не вказано, скільки екземплярів постраждало, і не наведено повного опису перебоїв у роботі.

У повідомленнях описували несанкціоноване створення облікових записів із подальшим виведенням коштів з інстансів LNbits. Кевін Равенсберг, який керує сервісом чайових у Telegram BitTipBot, повідомив, що зловмисники створили нові облікові записи на його інстансі та вивели 2 285 545 сатоші, приблизно 0,0229 BTC. За його оцінкою, ця активність тривала з близько 09:22 до 14:00 UTC 8 листопада. Це задокументований окремий випадок, а не оприлюднена загальна сума збитків в екосистемі LNbits.

Рекомендації щодо оновлення не обмежуються встановленням виправлення

У рекомендаціях LNbits щодо оновлення зазначено, що вразливими є версії до 1.7.0, і попереджається, що кошти в цих версіях ризикують бути викраденими. Практична вказівка — встановити реліз, перш ніж знову виводити сервер в онлайн, а не вважати попереднє повідомлення про вимкнення завершенням реагування. Проєкт повідомляє, що ця версія містить виправлення безпеки для інциденту, виявленого 8 листопада, але повний технічний опис експлойта ще не оприлюднив.

Операторам, які підозрюють, що їхній інстанс було скомпрометовано, радять розгорнути новий сервер. LNbits прямо застерігає: саме оновлення не може позбавити зловмисника доступу, який він, можливо, уже отримав. Ця відмінність важлива: встановлення виправлення усуває вразливість програмного забезпечення, тоді як відновлення сервера з нуля пропонується як спосіб реагування на можливий збережений доступ. У рекомендаціях не стверджується, що кожному оператору потрібен новий сервер; цей крок потрібен лише за підозри на компрометацію.

Контрольний список відновлення також передбачає зміну всіх ключів користувацьких гаманців із правами Super Admin, заміну облікових даних джерел фінансування, як-от API-ключів чи макарунів, і зміну інших секретів, збережених у налаштуваннях. Ці кроки враховують різні типи даних, якими зловмисник міг скористатися після отримання доступу. Операторів також просять перевірити або заново створити підключення до розширень, тож відновлення не обмежується основною програмою LNbits чи обліковими даними для її фінансування.

Посилення безпеки супроводжується новими функціями

Серед названих розширень і підключень — NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat і FOSSA. Їх включення розширює операційний масштаб реагування за межі простого скидання пароля: операторам потрібно оцінити інтеграції, пов’язані з їхніми екземплярами, і визначити, чи слід замінити облікові дані або переналаштувати підключення. У джерелі цей перелік наведено як частину рекомендацій із відновлення, але не стверджується, що кожне з названих розширень саме стало причиною атак.

У проєкті LNbits описано як гарячий гаманець, і операторам радять зберігати онлайн лише кошти, необхідні для поточної роботи, регулярно перевіряти активність і переводити надлишок на офлайн-ключі. Ці запобіжні заходи особливо актуальні, доки технічні подробиці інциденту та повний обсяг втрат не оприлюднено. Вони не замінюють установлення оновлення безпеки чи виконання кроків із відновлення, якщо є підозра на злам; їхня мета — обмежити суму коштів онлайн і відстежувати активність.

У примітках до випуску на GitHub версію 1.7.0 описано як масштабне посилення безпеки в частині автентифікації, керування розширеннями й обробки платежів, а також як оновлення залежностей. Ці категорії свідчать, що зміни охоплюють кілька компонентів програмного забезпечення, а не лише одну помітну функцію. Однак без обіцяного повного технічного звіту джерело не вказує на конкретну вразливість і не пояснює, яку з цих ділянок було використано під час інциденту 8 листопада.

Масштаб загрози та загальні збитки залишаються невідомими

У версії 1.7.0 з’явилися й інші функції, не пов’язані безпосередньо з реагуванням на інцидент: підтримка ончейн-гаманців, платежі за пропозиціями BOLT12, двофакторна автентифікація TOTP, підтримка NIP-17 і планувальник завдань. Випуск також містить автоматичне оновлення розширень і підтримку hold-рахунків для джерела фінансування LNbits. Їх поява в одній версії розширює можливості платформи, але головна вказівка проєкту стосується безпеки: операторам слід оновити систему, перш ніж перезапускати сервери.

LNbits з’явився у 2019 році як безкоштовний проєкт із відкритим вихідним кодом, заснований Беном Арком; згодом для підтримки розробки було створено комерційну організацію. Платформа пропонує багатокористувацькі облікові записи та великий набір розширень поверх джерел фінансування Lightning, зокрема LND і Core Lightning. Програмне забезпечення використовують як у самостійно розгорнутих, так і в керованих інсталяціях, тож попередження від 8 листопада стосується екосистеми з різними моделями роботи, а не лише одного типу розгортання.

У профілі LNbits у журналі Bitcoin Magazine за вересень 2024 року сервіс описали як WordPress для вузла Bitcoin Lightning і зазначили, що ним користуються приватні особи, компанії та оператори вузлів, які шукають доступні інструменти Lightning. Сукупний фінансовий вплив інциденту досі невідомий: LNbits не оприлюднив загальну суму коштів, утрачених на уражених інстансах, а повний технічний звіт ще не готовий. Поки ці подробиці не стануть доступними, операторам рекомендують ознайомитися з офіційними інструкціями, перш ніж знову вводити сервери в експлуатацію.

Джерело: BitcoinMagazine