LNbits julkaisi korjauksen – murretulle palvelimelle pelkkä päivitys ei riitä
- LNbits julkaisi tiistaina version 1.7.0, joka on asennettava ennen palvelimen uudelleenkäynnistystä.
- Jos murtoa epäillään, projekti neuvoo pystyttämään uuden palvelimen ja vaihtamaan lompakkoavaimet sekä rahoituslähteen tunnukset.
- LNbits ei ole kertonut hyökkäyksen toimintatapaa eikä murrettujen palvelinten määrää.
Haavoittuvuus koskee kaikkia aiempia versioita, ja hyökkääjät nostivat jo noin 2,3 miljoonaa satoshia BitTipBotin palvelimelta.
LNbits-palvelimia ylläpitävät saivat tiistaina korjauksen, jota he olivat odottaneet kaksi päivää palvelimet sammutettuina.
Lightning-lompakkopalvelimen versio 1.7.0 on merkitty tietoturvapäivitykseksi, ja LNbits kehottaa asentamaan sen ennen kuin palvelimen käynnistää uudelleen. Haavoittuvuus koskee kaikkia aiempia versioita.
– Aiempia LNbits-versioita käyttävillä palvelimilla olevat varat voidaan varastaa, projekti kirjoittaa päivitysohjeessaan.
Päivitys ei poista tunkeutujaa
Ohje käsittelee erikseen palvelimia, joille on ehkä jo murtauduttu. LNbits huomauttaa, että päivitys korjaa ohjelmistovirheen mutta ei vie hyökkääjältä avaimia, jotka tämä on ehtinyt kopioida.
Jos murtoa epäillään, LNbits neuvoo pystyttämään kokonaan uuden palvelimen.
LNbits neuvoo lisäksi vaihtamaan kaikkien käyttäjälompakoiden avaimet, uusimaan rahoituslähteen tunnukset eli API-avaimet ja macaroonit sekä vaihtamaan muut asetuksiin tallennetut salaisuudet. Laajennusten yhteydet on ohjeen mukaan tarkistettava tai luotava uudelleen, ja projekti mainitsee muun muassa NWC Providerin, LNDHubin, Bolt Cardsin ja TPOSin.
Bitcoin Magazine kertoo, että sama versio parantaa myös tunnistautumisen, laajennusten hallinnan ja maksujen käsittelyn tietoturvaa. LNbits muistuttaa, että ohjelmisto on kuuma lompakko, jossa kannattaa pitää vain käyttövaroja.
Runsaassa tunnissa laajennuksesta koko palvelimeen
Sunnuntaina 8. marraskuuta LNbits kehotti ensin poistamaan käytöstä Paywall-laajennuksen. CryptoBreaking kertoo, että runsaan tunnin kuluttua projekti käski pysäyttämään kaikki palvelimet ja sulki myös itse ylläpitämänsä palvelut.
– On parempi pelata varman päälle, LNbits kirjoitti X-viestissään.
Vahingoista on julkisuudessa yksi nimetty tapaus. Telegramissa toimivan tippauspalvelun BitTipBotin ylläpitäjä Kevin Ravensberg kertoi X:ssä, että hyökkääjät loivat hänen palvelimelleen uusia tilejä ja nostivat noin 2,3 miljoonaa satoshia eli noin 1 700 dollaria.
LNbitsin vuonna 2019 perustanut kehittäjä Ben Arc sanoi X:ssä tiimin työstäneen päivitystä "hellittämättä" sen jälkeen, kun käyttäjät olivat "kärsineet tappioita".
Projekti ei ole kertonut, miten hyökkäys toimi tai kuinka monelle palvelimelle murtauduttiin. Varastettujen varojen yhteissummaa ei ole ilmoitettu.
LNbits on luvannut tapauksesta täyden teknisen raportin. Sitä ei ole julkaistu.
