Platform dompet Bitcoin Lightning LNbits mendesak pengguna untuk segera memperbarui ke versi terbarunya setelah melaporkan serangkaian serangan yang menargetkan instalasi LNbits dan mengakibatkan dana dicuri.
Proyek tersebut merilis versi 1.7.0 pada hari Selasa, menyebutnya sebagai pembaruan penting yang mengatasi kerentanan serta memperkuat autentikasi, pengelolaan ekstensi, dan penanganan pembayaran. LNbits memperingatkan bahwa pembaruan saja tidak akan melindungi instalasi yang kredensialnya telah disusupi.
“Beberapa hari terakhir sangat menantang. Kami bekerja tanpa kenal lelah untuk merilis versi v1.7 setelah para pengguna dan kami mengalami kerugian,” kata pencipta LNbits, Ben Arc, di X.
LNbits menyediakan perangkat lunak untuk menjalankan dompet Bitcoin Lightning dan aplikasi pembayaran, termasuk kasir pedagang, layanan pemberian tip, dan paywall. Pengembang Ben Arc mengatakan pada bulan Mei bahwa sekitar 200.000 orang menjalankan perangkat lunak ini sendiri.
LNbits pertama kali memperingatkan operator pada hari Minggu untuk menonaktifkan ekstensi Paywall sambil menyelidiki potensi kerentanan. Lebih dari satu jam kemudian, proyek tersebut mendesak pengguna untuk segera mematikan server LNbits mereka, dengan menyebut gelombang serangan. LNbits juga menonaktifkan instalasi yang dihostingnya sendiri.
Perusahaan belum menjelaskan eksploitasi tersebut secara terperinci maupun berapa banyak pihak yang terdampak. Dalam pengumuman yang menyertai patch darurat, LNbits mengatakan bahwa kerentanan ini memengaruhi semua versi sebelum 1.7.0 dan membuat dana berisiko dicuri.
LNbits juga memperingatkan bahwa kredensial yang terekspos sebelum pembaruan masih dapat memberikan akses kepada penyerang setelahnya. LNbits mendesak operator untuk mengatur ulang kunci dompet, mengganti kredensial sumber pendanaan, dan menganggap rahasia yang tersimpan di pengaturan LNbits telah bocor. LNbits juga menyarankan untuk beralih ke server baru jika dicurigai telah terjadi kompromi.
Cointelegraph menghubungi Ben Arc dan LNbits untuk meminta komentar.
Seorang pengguna, Kevin Ravensberg, mengatakan para penyerang mengeksploitasi instans LNbits miliknya, menarik sekitar 2,3 juta satoshi, atau 0,023 Bitcoin, melalui akun-akun yang baru dibuat sebelum ia sempat mematikan server.
Perusahaan mengatakan laporan terpisah yang menguraikan eksploitasi tersebut akan menyusul.
Majalah: ‘Peluang beli terbaik sepanjang masa’ untuk Bitcoin telah tiba: Mark Moss