LNbits a publié en urgence la version 1.7.0, après l’attaque d’une série d’instances de portefeuilles du réseau Lightning Bitcoin, qui a entraîné le vol de fonds.
LNbits est un logiciel de portefeuille et de paiement Lightning que l’on peut héberger soi-même. Il est souvent utilisé par les commerçants pour recevoir des paiements, par des robots de pourboires et pour des paywalls. Son développeur, Ben Arc, avait indiqué auparavant qu’environ 200 000 personnes utilisaient le logiciel sur leur propre serveur.
L’équipe du projet a confirmé que toutes les versions antérieures à la 1.7.0 étaient vulnérables. La nouvelle version renforce principalement l’authentification, la gestion des extensions et le traitement des paiements. Mais le point essentiel n’est pas que la faille a été corrigée : c’est que la mise à niveau ne suffit pas.
Si les attaquants ont déjà obtenu les clés du portefeuille, les identifiants des sources de fonds ou des informations sensibles stockées dans les paramètres de LNbits, les identifiants existants peuvent encore leur permettre d’accéder au système, même après la mise à niveau du logiciel.
L’équipe du projet n’a pas encore révélé le déroulement complet de l’attaque ni le montant total des pertes. Un opérateur, Kevin Ravensberg, a déclaré que les attaquants avaient transféré environ 2,3 millions de sats, soit quelque 0,023 BTC, depuis son instance LNbits en créant un nouveau compte.
Pour l’instant, l’incident semble concerner le logiciel LNbits et ses opérations, et non Bitcoin ni le protocole du réseau Lightning lui-même.
Cet incident met une nouvelle fois en lumière un aspect de l’auto-hébergement que l’on a tendance à négliger : on peut faire tourner le code soi-même, mais il faut aussi assumer soi-même la maintenance de la sécurité. Un correctif peut fermer la porte, mais il ne fait pas automatiquement sortir ceux qui ont déjà les clés. $BTC
LNbits est un logiciel de portefeuille et de paiement Lightning que l’on peut héberger soi-même. Il est souvent utilisé par les commerçants pour recevoir des paiements, par des robots de pourboires et pour des paywalls. Son développeur, Ben Arc, avait indiqué auparavant qu’environ 200 000 personnes utilisaient le logiciel sur leur propre serveur.
L’équipe du projet a confirmé que toutes les versions antérieures à la 1.7.0 étaient vulnérables. La nouvelle version renforce principalement l’authentification, la gestion des extensions et le traitement des paiements. Mais le point essentiel n’est pas que la faille a été corrigée : c’est que la mise à niveau ne suffit pas.
Si les attaquants ont déjà obtenu les clés du portefeuille, les identifiants des sources de fonds ou des informations sensibles stockées dans les paramètres de LNbits, les identifiants existants peuvent encore leur permettre d’accéder au système, même après la mise à niveau du logiciel.
L’équipe du projet n’a pas encore révélé le déroulement complet de l’attaque ni le montant total des pertes. Un opérateur, Kevin Ravensberg, a déclaré que les attaquants avaient transféré environ 2,3 millions de sats, soit quelque 0,023 BTC, depuis son instance LNbits en créant un nouveau compte.
Pour l’instant, l’incident semble concerner le logiciel LNbits et ses opérations, et non Bitcoin ni le protocole du réseau Lightning lui-même.
Cet incident met une nouvelle fois en lumière un aspect de l’auto-hébergement que l’on a tendance à négliger : on peut faire tourner le code soi-même, mais il faut aussi assumer soi-même la maintenance de la sécurité. Un correctif peut fermer la porte, mais il ne fait pas automatiquement sortir ceux qui ont déjà les clés. $BTC
