Если вы используете сервер LNbits, прекратите всё, чем занимаетесь, и выключите его. В воскресенье, 8 ноября, команда проекта — системы бесплатного биткоин-кошелька с открытым исходным кодом для Lightning Network — призвала всех операторов немедленно отключить серверы после того, что она назвала волной атак. Два дня спустя предупреждение всё ещё действует: стабильного релиза с исправлениями безопасности нет, публичного объяснения уязвимости нет, и проект не сообщил об отмене предупреждения. Пока что появился тестовый пакет, не предназначенный для использования в рабочей среде, — это не исправление.

Что произошло в воскресенье

Первый тревожный сигнал прозвучал примерно в 12:33 UTC в воскресенье: LNbits сообщила операторам, что нужно отключить расширение Paywall, пока разработчики проверяют возможную ошибку. Paywall — это дополнение, которое взимает плату за доступ к контенту, и тогда предупреждение казалось ограниченным. Примерно 80 минут спустя проект распространил его на все серверы LNbits и призвал всех пользователей немедленно остановить свои серверы, сообщив, что необходимо установить несколько исправлений безопасности. Проект также отключил собственный хостинг my.lnbits.com, пообещав восстановить его в течение 24 часов. Этот срок — примерно 17:20 UTC в понедельник — прошёл, но уведомления о возобновлении работы так и не появилось. Эскалация говорит сама за себя: что бы ни обнаружили злоумышленники, проблема не ограничивалась одним расширением.

Наиболее очевидный подтверждённый ущерб понёс Кевин Равенсберг, который управляет сервисом чаевых BitTipBot в Telegram. Злоумышленники создали новые учётные записи на его сервере LNbits и вывели 2 285 545 сатоши — около 0,023 биткоина, или примерно 1 700 долларов по воскресному курсу, — в период с 09:22 до 14:00 UTC 8 ноября. Значит, атака продолжалась более трёх часов до первого предупреждения и всё ещё шла, когда появилось уведомление об отключении. Равенсберг заявил, что сам возместит ущерб пострадавшим пользователям, хотя средства заморожены до завершения разбирательства. LNbits не сообщила, сколько серверов было затронуто и сколько средств украли в общей сложности; возможно, эти данные никогда не станут публичными.

Исправление запаздывает, а тестовая сборка — ещё не исправление

В воскресенье разработчик LNbits Бен Арк предположил, что исправления должны быть включены в основную ветку и доступны в течение 24–48 часов, то есть их можно было ожидать с понедельника после полудня и примерно до 14:00 UTC сегодня. Этот срок уже истёк. Фактически появились два изменения, связанные с безопасностью: они были включены в ветку разработки 9 ноября под номерами 4310 и 4313. Изменения усиливают защиту от подделки запросов и по умолчанию отключают создание новых учётных записей. Тестовый пакет версии 1.7.0rc4 появился на PyPI сегодня в 01:51 UTC, после того как вчера вышла предыдущая предварительная версия. Однако PyPI помечает её как предварительный релиз, который ещё проходит проверку перед стабильным выпуском, а GitHub по-прежнему указывает v1.6.2 от 18 сентября как последнюю стабильную версию. Включение изменений в ветку разработки и выпуск кандидата на релиз — это прогресс, но ни то ни другое не является готовым исправленным выпуском, который операторы могут установить и которому можно доверять.

Проект не опубликовал идентификатор CVE или перечень затронутых версий и не назвал публично ни уязвимость, ни использованное расширение. Равенсберг сообщил, что разработчики подтвердили, какое расширение использовали для атаки на его сервер, но ни он, ни проект не назвали его публично. Поэтому операторам остаётся гадать, подверглась ли риску их собственная система, — именно такая неопределённость и делает правильным решение отключить сервер, несмотря на неудобства. LNbits — это уровень учётных записей для ботов, принимающих чаевые, платёжных терминалов и небольших сервисов оформления покупок, поэтому каждый час простоя означает час, в течение которого эти сервисы не могут перемещать средства.

Что это означает, а чего не означает

Уведомление об отключении касается только серверов LNbits. Оно не распространяется на узлы Lightning и не означает, что сама сеть Lightning неисправна. Атаки затронули создание учётных записей и вывод средств в LNbits, а не лежащие в её основе программы LND или Core Lightning; обычный кошелёк Lightning — это не то же самое, что сервер LNbits. Это различие важно: подобная тревога может убедить людей, что вся сеть небезопасна, хотя проблема заключается в одном программном компоненте, работающем поверх неё. В сентябре LNbits выпустила обновление безопасности после аудита V12, так что нельзя сказать, что проект игнорирует безопасность. Но аудит не может выявить всё.

Если вы управляете сервером LNbits, не включайте его, пока проект не выпустит стабильную версию с исправлением и не сообщит, что операторы могут перезапустить серверы. Доверяйте в этом вопросе только официальным каналам проекта. Не перезапускайте сервер на версии-кандидате и проверьте баланс, прежде чем снова допускать пользователей. Тревожнее всего сроки: атака продолжалась несколько часов, прежде чем кого-либо предупредили, а спустя два дня исправление всё ещё существует только в виде тестовой сборки. Доверие к программному обеспечению кошельков с открытым исходным кодом нужно заслужить: выпустить исправление, назвать уязвимость и прямо сообщить, кто пострадал. LNbits пока этого не сделала.

------- Автор: Роуэн Марроу, редакция в Сиэтле GlobalCryptoPress | Срочные новости о криптовалютах

Подпишитесь на GCP в приложении для чтения новостей