Die Bitcoin-Lightning-Wallet-Plattform LNbits hat Nutzer dringend aufgefordert, sofort auf die neueste Version zu aktualisieren. Zuvor hatte sie von einer Angriffswelle auf LNbits-Instanzen berichtet, bei der Gelder gestohlen wurden.

Das Projekt veröffentlichte am Dienstag Version 1.7.0 und bezeichnete sie als wichtiges Update, das Schwachstellen behebt und die Authentifizierung, Erweiterungsverwaltung sowie Zahlungsabwicklung stärkt. LNbits warnte, dass ein Update allein Installationen nicht schützen könne, deren Zugangsdaten bereits kompromittiert worden seien.

„Die letzten Tage waren sehr herausfordernd. Wir haben unermüdlich daran gearbeitet, Version 1.7 zu veröffentlichen, nachdem sowohl unsere Nutzer als auch wir Verluste erlitten hatten“, sagte LNbits-Gründer Ben Arc auf X.

LNbits stellt Software für den Betrieb von Bitcoin-Lightning-Wallets und Zahlungsanwendungen bereit, darunter Händler-Checkouts, Trinkgeld-Dienste und Paywalls. Entwickler Ben Arc sagte im Mai, dass etwa 200.000 Menschen die Software selbst betreiben.

LNbits warnte Betreiber am Sonntag zunächst, die Paywall-Erweiterung zu deaktivieren, während das Unternehmen eine mögliche Sicherheitslücke untersuchte. Etwas mehr als eine Stunde später forderte das Projekt die Nutzer auf, ihre LNbits-Server sofort herunterzufahren, und verwies auf eine Angriffswelle. Auch die eigenen gehosteten Installationen nahm es offline.

Das Unternehmen hat noch keine Einzelheiten zum Exploit oder dazu veröffentlicht, wie viele davon betroffen waren. In einer Mitteilung zum Notfall-Patch erklärte LNbits, dass die Sicherheitslücke alle Versionen vor 1.7.0 betrifft und die Gefahr besteht, dass Gelder gestohlen werden.

Außerdem warnte das Unternehmen, dass Zugangsdaten, die vor dem Upgrade offengelegt wurden, Angreifern auch danach noch Zugriff ermöglichen könnten. Es forderte Betreiber auf, Wallet-Schlüssel zurückzusetzen, Zugangsdaten für Finanzierungsquellen zu ersetzen und in den LNbits-Einstellungen gespeicherte Geheimnisse als kompromittiert zu behandeln. Bei Verdacht auf eine Kompromittierung empfahl es, auf einen neuen Server umzuziehen.

Cointelegraph wandte sich mit der Bitte um Stellungnahme an Ben Arc und LNbits.

Ein Nutzer, Kevin Ravensberg, sagte, Angreifer hätten seine LNbits-Instanz ausgenutzt und über neu erstellte Konten etwa 2,3 Millionen Satoshis beziehungsweise 0,023 Bitcoin abgehoben, bevor er den Server herunterfahren konnte.

Das Unternehmen erklärte, ein separater Bericht mit Einzelheiten zum Exploit werde folgen.

Magazin: Bitcoins „beste Kaufgelegenheit aller Zeiten“ ist gekommen: Mark Moss