LNbits lançou em caráter de emergência a versão 1.7.0, depois que uma série de instâncias de carteiras da Lightning Network do Bitcoin foi atacada e teve fundos roubados.
LNbits é um software de carteira e pagamentos da Lightning Network que pode ser hospedado pelos próprios usuários. É frequentemente usado por comerciantes para receber pagamentos, por bots de gorjetas e em paywalls. O desenvolvedor Ben Arc afirmou anteriormente que cerca de 200 mil pessoas executavam o software por conta própria.
O projeto confirmou que todas as versões anteriores à 1.7.0 estão em risco. A nova versão reforça principalmente a autenticação, o gerenciamento de extensões e o processamento de pagamentos. Mas a mensagem mais importante desta vez não é que o problema já foi corrigido: atualizar, por si só, não basta.
Se os invasores já tiverem obtido as chaves da carteira, credenciais das fontes de fundos ou informações confidenciais armazenadas nas configurações do LNbits, as credenciais existentes ainda poderão dar acesso mesmo após a atualização do software.
Até o momento, o projeto não divulgou o percurso completo do ataque nem o total das perdas. Um operador, Kevin Ravensberg, afirmou que os invasores transferiram cerca de 2,3 milhões de sats — aproximadamente 0,023 BTC — da sua instância do LNbits ao criarem uma nova conta.
Por enquanto, o incidente aponta para o software e as operações do LNbits, e não para o próprio Bitcoin ou para o protocolo da Lightning Network.
O episódio volta a expor um aspecto do autocustódia que costuma passar despercebido: é possível executar o código por conta própria, mas também é preciso assumir a responsabilidade pela manutenção da segurança. Um patch pode fechar a porta, mas não expulsar automaticamente quem já conseguiu as chaves.$BTC
LNbits é um software de carteira e pagamentos da Lightning Network que pode ser hospedado pelos próprios usuários. É frequentemente usado por comerciantes para receber pagamentos, por bots de gorjetas e em paywalls. O desenvolvedor Ben Arc afirmou anteriormente que cerca de 200 mil pessoas executavam o software por conta própria.
O projeto confirmou que todas as versões anteriores à 1.7.0 estão em risco. A nova versão reforça principalmente a autenticação, o gerenciamento de extensões e o processamento de pagamentos. Mas a mensagem mais importante desta vez não é que o problema já foi corrigido: atualizar, por si só, não basta.
Se os invasores já tiverem obtido as chaves da carteira, credenciais das fontes de fundos ou informações confidenciais armazenadas nas configurações do LNbits, as credenciais existentes ainda poderão dar acesso mesmo após a atualização do software.
Até o momento, o projeto não divulgou o percurso completo do ataque nem o total das perdas. Um operador, Kevin Ravensberg, afirmou que os invasores transferiram cerca de 2,3 milhões de sats — aproximadamente 0,023 BTC — da sua instância do LNbits ao criarem uma nova conta.
Por enquanto, o incidente aponta para o software e as operações do LNbits, e não para o próprio Bitcoin ou para o protocolo da Lightning Network.
O episódio volta a expor um aspecto do autocustódia que costuma passar despercebido: é possível executar o código por conta própria, mas também é preciso assumir a responsabilidade pela manutenção da segurança. Um patch pode fechar a porta, mas não expulsar automaticamente quem já conseguiu as chaves.$BTC
