Le 8 novembre, le système de portefeuille Bitcoin Lightning LNbits a demandé à tous les opérateurs de se mettre immédiatement hors ligne, indiquant qu’il subissait une attaque. Deux jours plus tard, le 10 novembre à 17:09 UTC, la mise à jour d’urgence 1.7.0 a été publiée. Toutes les versions antérieures à la 1.7.0 étaient concernées ; il fallait effectuer la mise à niveau pour pouvoir se reconnecter. Les détenteurs ordinaires de cryptomonnaies n’ont pas à paniquer pour l’instant.

C’est la chronologie qui mérite le plus d’attention. L’attaque a commencé le 8 novembre à 09:22 UTC, mais l’équipe du projet n’a publié son premier avertissement qu’à 12:33, demandant seulement de désactiver l’extension Paywall. Il a fallu attendre environ 80 minutes supplémentaires pour qu’elle ordonne à tout le monde de se mettre hors ligne. L’attaque avait commencé plus de trois heures avant l’avertissement. Le service d’hébergement de l’équipe a également été fermé plus tard dans la journée ; il devait être rétabli sous 24 heures, soit vers le 9 novembre à 17:20 UTC, mais aucune annonce de rétablissement n’a suivi, même après l’échéance.

Une perte confirmée est liée à Kevin Ravensberg, l’opérateur du bot de pourboires Telegram BitTipBot. Entre 09:22 et 14:00 UTC, un attaquant a utilisé un compte nouvellement créé pour dérober 2 285 545 satoshis, soit environ 0,023 bitcoin et quelque 1 700 dollars, en exploitant une faille dans une extension. Il a promis d’indemniser les utilisateurs. Ce chiffre ne concerne qu’un seul serveur ; le montant total des pertes n’a pas encore été annoncé.

Le correctif est disponible, mais l’enquête se poursuit. Au 11 novembre à 01:35 UTC, aucune information officielle n’avait été publiée sur l’extension concernée, le nombre de personnes touchées ni l’existence d’un CVE. Il faut surtout retenir que la mise à niveau vers la version 1.7.0 n’est qu’une première étape. Si vous pensez avoir été touché, les recommandations officielles sont de migrer vers un nouveau serveur, de réinitialiser les clés du portefeuille, de renouveler les clés API et les autres identifiants, puis de vérifier à nouveau les extensions installées. Une mise à niveau ne fait que remplacer le logiciel : si les clés et les identifiants ont déjà été compromis, l’attaquant peut toujours entrer.

Pour les petits investisseurs, l’incident a touché les serveurs LNbits ; le réseau Lightning lui-même et les autres portefeuilles n’ont pas été affectés. Si vous utilisez un service hébergé par quelqu’un d’autre, évitez d’y déposer de l’argent pendant quelques jours et attendez que son opérateur annonce la mise à niveau vers la version 1.7.0. Si vous gérez votre propre nœud, passez d’abord à la version 1.7.0, puis suivez les quatre étapes ci-dessus pour vérifier vos clés et vos identifiants.

À mon avis, le correctif est une bonne nouvelle, mais la véritable leçon se trouve dans la chronologie.

Pensez-vous que l’avertissement de l’équipe du projet est arrivé à temps ?

#比特币 #闪电网络 #LNbits #钱包安全 #Piraté

— Xiao Kai, le « poireau » de la web3

Ce contenu exprime uniquement une opinion personnelle et ne constitue pas un conseil en investissement. Faites vos propres recherches.