La plateforme de portefeuille Bitcoin Lightning LNbits a exhorté les utilisateurs à mettre immédiatement à jour leur logiciel vers la dernière version après avoir signalé une vague d’attaques visant des instances LNbits et ayant entraîné le vol de fonds.
Le projet a publié la version 1.7.0 mardi, la qualifiant de mise à jour critique visant à corriger des vulnérabilités et à renforcer l’authentification, la gestion des extensions et le traitement des paiements. LNbits a averti que la mise à jour ne suffirait pas à protéger les installations dont les identifiants avaient déjà été compromis.
« Ces derniers jours ont été très difficiles. Nous avons travaillé sans relâche pour publier la version 1.7 après les pertes subies par nos utilisateurs et par nous-mêmes », a déclaré sur X Ben Arc, le créateur de LNbits.
LNbits fournit des logiciels permettant d’exécuter des portefeuilles Bitcoin Lightning et des applications de paiement, notamment des systèmes de paiement pour commerçants, des services de pourboires et des paywalls. En mai, le développeur Ben Arc a déclaré qu’environ 200 000 personnes exécutaient elles-mêmes le logiciel.
Dimanche, LNbits a d’abord recommandé aux opérateurs de désactiver son extension Paywall pendant qu’il enquêtait sur une vulnérabilité potentielle. Un peu plus d’une heure plus tard, le projet a exhorté les utilisateurs à arrêter immédiatement leurs serveurs LNbits, invoquant une vague d’attaques. Il a également mis hors ligne ses propres installations hébergées.
L’entreprise n’a pas encore précisé les détails de l’exploitation de la faille ni le nombre de personnes touchées. Dans une annonce accompagnant le correctif d’urgence, LNbits a indiqué que la vulnérabilité affectait toutes les versions antérieures à la 1.7.0 et exposait les fonds au risque de vol.
L’entreprise a également averti que les identifiants exposés avant la mise à niveau pourraient encore permettre aux attaquants d’accéder aux comptes par la suite. Elle a exhorté les opérateurs à réinitialiser les clés de portefeuille, à remplacer les identifiants des sources de financement et à considérer comme compromis les secrets stockés dans les paramètres de LNbits. Elle a aussi recommandé de migrer vers un nouveau serveur en cas de suspicion de compromission.
Cointelegraph a contacté Ben Arc et LNbits pour obtenir un commentaire.
Un utilisateur, Kevin Ravensberg, a déclaré que des attaquants avaient exploité son instance LNbits et retiré environ 2,3 millions de satoshis, soit 0,023 Bitcoin, au moyen de comptes nouvellement créés, avant qu’il ne puisse arrêter le serveur.
L’entreprise a indiqué qu’un rapport distinct détaillant l’exploitation de la faille serait publié ultérieurement.
Magazine : la « meilleure occasion d’achat de Bitcoin de tous les temps » est arrivée : Mark Moss