LNbits käski sammuttaa palvelimet ja Keplrin some-kirjautujat menettivät varoja – heikko lenkki oli lompakkoa ympäröivissä palveluissa
- LNbits käski sunnuntaina kaikkia ylläpitäjiä sammuttamaan palvelimensa hyökkäysaallon vuoksi, eikä korjattua versiota ole vielä julkaistu.
- Keplrin luvattomat siirrot koskivat vain Google- ja Apple-kirjautumisella luotuja tilejä, ja Josh Leen mukaan vika oli Web3Authissa.
- Bitqueryn kuuden miljoonan dollarin varkausluku ja Web3Authin pelastamat varat kuvaavat pitkälti samaa rahaa.
Hollantilainen BitTipBot-palvelu menetti LNbits-hyökkäyksessä noin 1 700 dollaria, ja Web3Auth siirsi altistuneiden Keplr-lompakoiden varoja turvaan.
Sunnuntaina kello 15.56 Suomen aikaa LNbits käski kaikkia käyttäjiään sammuttamaan palvelimensa välittömästi. Hyökkäysaallon jälkeen projektilla oli sen mukaan joukko tietoturvakorjauksia odottamassa julkaisua.
"All LNbits users should stop their LNbits servers IMMEDIATELY"
– LNbits (@lnbits) November 8, 2026
LNbits on avoimen lähdekoodin lompakko- ja tiliohjelmisto Bitcoinin Lightning-verkkoon, ja tuhannet ylläpitäjät pyörittävät sitä omilla palvelimillaan toisistaan riippumatta.
Varoitus tuli kahdessa vaiheessa. Jo kello 14.33 projekti oli kehottanut poistamaan Paywall-laajennuksen heti käytöstä, koska se selvitti laajennuksen mahdollista vikaa.
LNbitsin perustaja Ben Arc kirjoitti kolme minuuttia sammutuskäskyn jälkeen, että korjausten pitäisi olla saatavilla 24–48 tunnin kuluessa.
Illalla kello 19.18 LNbits sulki myös kaikki LNbits-asennukset ylläpitämässään my.lnbits.com-palvelussa ja lupasi palvelun palaavan vuorokauden sisällä.
Ainoa julkisesti kerrottu menetys koskee hollantilaisen Kevin Ravensbergin ylläpitämää BitTipBot-palvelua. Hän sanoi, että äskettäin luotujen tilien kautta palvelusta nostettiin 2 285 545 satoshia (bitcoinin pienin yksikkö) eli noin 1 700 dollaria kello 11.22 ja 16.00 välillä Suomen aikaa. Ravensberg aikoo korvata käyttäjiensä menetykset itse.
Maanantaiaamuna korjattua versiota ei vielä ollut. GitHubissa uusin julkaisu on edelleen 18. syyskuuta ilmestynyt versio 1.6.2, eikä projekti ole julkaissut tietoturvatiedotetta, kuvausta haavoittuvuudesta tai arviota kokonaistappioista.
Epäselvää on myös, onko vika Paywall-laajennuksessa vai tilien luomisessa.
Keplrin vika oli kirjautumispalvelussa
Jo lauantaiaamuna Cosmos-ekosysteemissä laajalti käytetty Keplr-lompakko kertoi luvattomista siirroista joiltakin Google- tai Apple-kirjautumisella luoduilta tileiltä.
Kirjautumisen tarjoaa Web3Auth, jonka MetaMaskin kehittäjä Consensys osti kesäkuussa 2025 ja joka toimii nykyään nimellä MetaMask Embedded Wallets. Web3Auth keskeytti upotettujen lompakkojen palvelunsa jo perjantaina kello 23.13 Suomen aikaa ja sanoi, ettei se ollut löytänyt merkkejä siitä, että tapaus olisi koskenut MetaMaskin käyttäjiä.
Keplr keskeytti samalla sosiaaliset kirjautumiset ja korosti, ettei tapaus koskenut palautuslauseella tai laitelompakolla luotuja tilejä.
Keplrin toinen perustaja Josh Lee kiisti, että vika olisi ollut lompakon omassa koodissa.
– Kyse ei ollut Keplrin koodin murtamisesta. Tapaus sai alkunsa Web3Authista, Lee kirjoitti X:ssä.
Hän arvioi, että noin viidennes sosiaalisella kirjautumisella luoduista tileistä oli altistunut ja että vain pieneltä osalta niistä oli viety varoja.
Sen jälkeen Web3Auth alkoi itse siirtää varoja pois altistuneista lompakoista samaa reittiä, jota alkuperäinen hyökkääjä oli käyttänyt. Keplr varoitti, että osan tilien saldo voi näyttää pienentyneeltä tai tyhjältä juuri näiden pelastustoimien vuoksi.
Lohkoketjut kestivät
Kummassakaan tapauksessa Bitcoinin tai Cosmosin lohkoketjua ei murrettu. Pettänyt osa oli LNbitsin tapauksessa itse ylläpidetty Lightning-palvelin ja Keplrin tapauksessa Googlen ja Applen tunnuksiin nojaava kirjautumispalvelu.
Suomalaisista uhreista ei ole tietoa. Keplr-tilin Google- tai Apple-tunnuksilla luoneet voivat tarkistaa saldonsa ja seurata lompakon tiedotteita, kun taas palautuslauseella tai laitelompakolla toimivat tilit jäivät Keplrin oman ilmoituksen mukaan tapauksen ulkopuolelle. LNbits-palvelimen ylläpitäjiä on kehotettu pitämään palvelimet suljettuina, kunnes korjattu versio julkaistaan.
Varastettu ja pelastettu ovat osin samaa rahaa
Lohkoketjuanalyysiyhtiö Bitquery jäljitti 44 041 lompakosta yhteensä 6,01 miljoonaa dollaria kahdeksaan osoitteeseen. Suurin yksittäinen menetys oli noin 325 000 dollaria.
The Block kuitenkin havaitsi, että kaikki kahdeksan osoitetta löytyvät Web3Authin julkaisemalta pelastusosoitteiden listalta. Kahdessatoista pelastusosoitteessa oli noin 5,6 miljoonaa dollaria, josta noin 3,3 miljoonaa oli ATOM-tokeneina.
Kuuden miljoonan dollarin varkausluku ja Web3Authin pelastama summa kuvaavat suurelta osin samoja varoja. Kukaan ei ole kertonut, paljonko hyökkääjä sai haltuunsa.
The Block kuvasi Web3Authin ehtineen hakkereiden edelle, mutta yhtiö ei ole itse käyttänyt tätä ilmausta.
Web3Auth ei ollut maanantaiaamuna julkaissut selvitystä vian syystä, eikä lopullista tappiosummaa tai pelastettujen varojen palautusmenettelyä ole kerrottu.
