LNbits遭11月8日攻击后发布1.7.0紧急安全更新

11月8日攻击之后,1.7.0紧急补丁上线

开源闪电网络钱包与账户平台LNbits于11月10日发布1.7.0版本,作为紧急安全更新,并要求所有运营者在服务器重新上线之前完成安装。该项目官方X账号将此次发布标注为“安全更新”,同时引导运营者查阅GitHub发布说明以获取完整变更清单。LNbits由Ben Arc于2019年创立,是一个免费开源项目,可在包括LND和Core Lightning在内的任意闪电网络资金源之上提供多用户账户及大量扩展功能,部署方式既有自建托管,也有托管实例。

时间线值得关注。针对LNbits实例的攻击在上周末即已开始:11月8日(星期日),项目方公开要求用户立即停机,表示在安全补丁准备就绪之前,宁可谨慎行事。LNbits同时关闭了自己托管服务上的全部实例。运营者反馈描述了攻击模式:先是被未经授权地创建账户,随后资金从用户余额中被转走。经营Telegram打赏服务BitTipBot的Kevin Ravensberg报告称,攻击者在其实例上新开账户,于11月8日约09:22至14:00(UTC)之间转出2,285,545聪,约合0.0229枚比特币(BTC)。

根据随发布一同公布的官方升级指引,1.7.0之前的所有版本均受影响,运行旧版本的节点存在资金被盗风险。团队确认,1.7.0包含针对11月8日发现事件的修复内容,并表示将随后发布完整的技术报告。公告并未公布漏洞的具体名称,受影响实例的累计损失总额也尚未公布。

轮换密钥与重建受感染服务器

安装补丁与从入侵中恢复是两件不同的事。LNbits提醒,更新本身不会自动撤销攻击者可能已经获得的访问权限,因此在攻击窗口内被触及过的服务器,即使完成升级仍可能不安全。指引要求怀疑遭到入侵的运营者首先保存日志与相关记录,然后搭建一台运行1.7.0的全新服务器,而不是继续信任旧机器。保留这些记录对后续取证至关重要,因为承诺中的技术报告将依赖攻击路径的证据。

在新服务器上,超级管理员应轮换每个用户钱包的私钥,使旧密钥失效,同时所有已连接的应用都必须更新为替换后的密钥。API密钥或macaroon等资金源凭证需要在源头撤销并重新签发,服务器设置中存放的其他密钥也应一并轮换。现有扩展连接,包括NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat和FOSSA,必须全部拆除并用新凭证重建。

发布说明描述了身份验证、扩展管理和支付处理方面的加固措施,以及依赖项更新,但封堵攻击路径的具体改动尚未公开。1.7.0还带来多项新功能:链上钱包支持、BOLT12报价支付、TOTP双因素认证、NIP-17支持、任务调度器、扩展自动更新,以及针对LNbits资金源的hold invoice支持。慢雾(SlowMist)的事件记录将同一笔2,285,545聪的损失列为单实例损失案例,而公告对比特币网络或闪电网络协议本身是否遭到攻破保持沉默;目前已确认的损害集中在运营者服务器,而非协议层。

COINOTAG观点:根本原因尚未披露,这正是本事件最尖锐的缺口。LNbits在设计上就是热钱包,官方指引要求运营者仅将运营所需余额保持在线,其余资金转入离线密钥。在技术报告公布攻击路径之前,每一个未打补丁或刚刚升级的实例都应被视为活跃目标,这也解释了为什么补丁发布的同时附带了完整的凭证轮换流程。对于多余余额,Tangem移动钱包等冷存储方案可将服务器彻底移出信任链,我们此前关于加密资产安全防护的指南也从用户角度阐述了同一原则。