LNbits hat dringend Version 1.7.0 veröffentlicht, nachdem zuvor mehrere Instanzen von Bitcoin-Lightning-Wallets angegriffen und Gelder gestohlen worden waren.
LNbits ist eine Software für Lightning-Wallets und Zahlungen, die selbst gehostet werden kann. Sie wird häufig für Händlerzahlungen, Trinkgeld-Bots und Paywalls verwendet. Entwickler Ben Arc erklärte zuvor, dass etwa 200.000 Menschen die Software selbst betreiben.
Das Projekt bestätigte, dass alle Versionen vor 1.7.0 gefährdet sind. Die neue Version verbessert vor allem die Authentifizierung, die Verwaltung von Erweiterungen und die Zahlungsabwicklung. Doch der wichtigste Hinweis lautet diesmal nicht, dass die Sicherheitslücke behoben wurde, sondern dass ein Upgrade allein nicht ausreicht.
Falls Angreifer zuvor bereits Wallet-Schlüssel, Zugangsdaten für Finanzierungsquellen oder vertrauliche Informationen aus den LNbits-Einstellungen erlangt haben, können die ursprünglichen Zugangsdaten auch nach dem Software-Upgrade weiterhin Zugriff ermöglichen.
Das Projekt hat bislang weder den vollständigen Angriffsweg noch den Gesamtschaden bekannt gegeben. Ein Betreiber namens Kevin Ravensberg erklärte, Angreifer hätten durch das Anlegen eines neuen Kontos etwa 2,3 Millionen Satoshi, rund 0,023 BTC, von seiner LNbits-Instanz abgezogen.
Der Vorfall deutet vorerst auf Probleme mit der LNbits-Software und ihrem Betrieb hin, nicht auf das Bitcoin- oder Lightning-Netzwerkprotokoll selbst.
Der Vorfall macht erneut eine oft übersehene Seite des Self-Hosting deutlich: Man kann den Code selbst betreiben, muss sich aber auch selbst um die Sicherheit kümmern. Ein Patch kann die Tür schließen, aber nicht automatisch diejenigen hinauswerfen, die bereits einen Schlüssel haben. $BTC
LNbits ist eine Software für Lightning-Wallets und Zahlungen, die selbst gehostet werden kann. Sie wird häufig für Händlerzahlungen, Trinkgeld-Bots und Paywalls verwendet. Entwickler Ben Arc erklärte zuvor, dass etwa 200.000 Menschen die Software selbst betreiben.
Das Projekt bestätigte, dass alle Versionen vor 1.7.0 gefährdet sind. Die neue Version verbessert vor allem die Authentifizierung, die Verwaltung von Erweiterungen und die Zahlungsabwicklung. Doch der wichtigste Hinweis lautet diesmal nicht, dass die Sicherheitslücke behoben wurde, sondern dass ein Upgrade allein nicht ausreicht.
Falls Angreifer zuvor bereits Wallet-Schlüssel, Zugangsdaten für Finanzierungsquellen oder vertrauliche Informationen aus den LNbits-Einstellungen erlangt haben, können die ursprünglichen Zugangsdaten auch nach dem Software-Upgrade weiterhin Zugriff ermöglichen.
Das Projekt hat bislang weder den vollständigen Angriffsweg noch den Gesamtschaden bekannt gegeben. Ein Betreiber namens Kevin Ravensberg erklärte, Angreifer hätten durch das Anlegen eines neuen Kontos etwa 2,3 Millionen Satoshi, rund 0,023 BTC, von seiner LNbits-Instanz abgezogen.
Der Vorfall deutet vorerst auf Probleme mit der LNbits-Software und ihrem Betrieb hin, nicht auf das Bitcoin- oder Lightning-Netzwerkprotokoll selbst.
Der Vorfall macht erneut eine oft übersehene Seite des Self-Hosting deutlich: Man kann den Code selbst betreiben, muss sich aber auch selbst um die Sicherheit kümmern. Ein Patch kann die Tür schließen, aber nicht automatisch diejenigen hinauswerfen, die bereits einen Schlüssel haben. $BTC
