Se você administra um servidor LNbits, pare o que estiver fazendo e desligue-o. No domingo, 8 de novembro, o projeto por trás do sistema de carteira Bitcoin Lightning gratuito e de código aberto pediu a todos os operadores que desligassem seus servidores imediatamente, após o que chamou de uma onda de ataques. Dois dias depois, o alerta continua em vigor, sem uma versão estável de segurança, sem explicação pública sobre a falha e sem qualquer sinal verde do projeto. O que surgiu até agora é um pacote de teste que não se destina ao uso em produção, e não uma correção.
O que aconteceu no domingo
O primeiro sinal de problemas surgiu por volta das 12h33 UTC de domingo, quando a LNbits pediu aos operadores que desativassem sua extensão Paywall enquanto investigava um possível bug. Paywall é um complemento que cobra das pessoas antes que elas possam ver o conteúdo e, naquele momento, o alerta parecia restrito. Cerca de 80 minutos depois, o projeto ampliou o alerta para todos os servidores LNbits, instruindo todos os usuários a desligarem seus servidores imediatamente e dizendo que tinha várias correções de segurança para aplicar. O projeto também desligou seu próprio serviço hospedado, my.lnbits.com, prometendo restabelecê-lo em até 24 horas — uma previsão para cerca de 17h20 UTC de segunda-feira que passou sem que houvesse aviso de restauração. A escalada conta sua própria história: o que quer que os invasores tenham encontrado, não estava limitado a uma única extensão.
A perda confirmada mais clara é a de Kevin Ravensberg, que opera o serviço de gorjetas BitTipBot no Telegram. Os invasores criaram novas contas no servidor LNbits dele e sacaram 2.285.545 satoshis — cerca de 0,023 bitcoin, ou aproximadamente US$ 1.700 aos preços de domingo — entre 09h22 e 14h00 UTC de 8 de novembro. Portanto, o ataque durou mais de três horas antes do primeiro alerta e ainda estava em andamento quando chegou o aviso de desligamento. Ravensberg disse que reembolsará os usuários afetados do próprio bolso, embora os fundos estejam congelados enquanto o incidente é resolvido. A LNbits não informou quantos servidores foram atingidos nem quanto foi levado no total, e esse número talvez nunca se torne público.
A correção está atrasada, e a versão de teste não é a solução
No domingo, o desenvolvedor da LNbits Ben Arc estimou que as correções seriam incorporadas e disponibilizadas em 24 a 48 horas, o que colocava a previsão de lançamento entre a tarde de segunda-feira e cerca de 14h00 UTC de hoje. Esse prazo já terminou. O que realmente surgiu foi um par de alterações de segurança incorporadas ao ramo de desenvolvimento em 9 de novembro, numeradas 4310 e 4313, que reforçam a proteção contra falsificação de solicitações e desativam por padrão a criação de novas contas. Um pacote de teste, versão 1.7.0rc4, chegou ao PyPI hoje às 01h51 UTC, após uma versão candidata anterior lançada ontem. Mas o PyPI a classifica como pré-lançamento, ainda em fase de verificação antes de uma versão estável, e o GitHub continua listando a v1.6.2, de 18 de setembro, como a versão estável mais recente. A incorporação de alterações ao ramo de desenvolvimento e uma versão candidata são avanços, mas nenhuma das duas é uma versão corrigida que os operadores possam instalar e considerar confiável.
O projeto não publicou um identificador CVE nem um intervalo de versões afetadas e não revelou publicamente o nome da falha ou da extensão explorada. Ravensberg disse que os desenvolvedores confirmaram qual extensão foi usada contra o servidor dele, mas nem ele nem o projeto a identificaram publicamente. Isso deixa os operadores tentando adivinhar se suas próprias configurações foram expostas — exatamente o tipo de incerteza que torna o aviso de desligamento a decisão certa, mesmo que isso cause transtornos. A LNbits é a camada de contas por trás de bots de gorjetas, terminais de pagamento e pequenos serviços de checkout, então cada hora em que fica fora do ar é uma hora em que esses serviços não podem movimentar dinheiro.
O que isso significa — e o que não significa
O aviso de desligamento se aplica apenas aos servidores LNbits. Não se aplica aos nós Lightning e não significa que a própria Lightning Network esteja com problemas. Os ataques atingiram a criação de contas e os saques na LNbits, não os softwares LND ou Core Lightning subjacentes, e sua carteira Lightning habitual é diferente de um servidor LNbits. Essa distinção importa, porque um susto como este pode convencer as pessoas de que toda a rede é insegura, quando o problema está em uma parte do software que funciona sobre ela. A LNbits lançou uma versão de segurança em setembro, após uma auditoria da V12, portanto não é um projeto que ignora a segurança — mas auditorias não detectam tudo.
Se você opera um servidor LNbits, mantenha-o desligado até que o projeto publique uma versão estável com as correções e diga que os operadores podem reiniciá-lo; para isso, confie apenas nos canais oficiais. Não reinicie com uma versão candidata e confira seus saldos antes de permitir que os usuários voltem. A parte preocupante é a cronologia: o ataque durou horas antes que alguém fosse alertado e, dois dias depois, a correção ainda é uma versão de teste. O software de carteira de código aberto depende da confiança, conquistada ao lançar a correção, identificar a falha e dizer claramente quem foi afetado. A LNbits ainda não fez isso.
------- Autor: Rowan Marrow Seattle NewsroomGlobalCryptoPress | Notícias de última hora sobre criptomoedas
Assine a GCP em um leitor