Платформа Bitcoin Lightning-кошельков LNbits призвала пользователей немедленно обновиться до последней версии после сообщений о серии атак на экземпляры LNbits, в результате которых были похищены средства.

Во вторник проект выпустил версию 1.7.0, назвав её критически важным обновлением, которое устраняет уязвимости и усиливает защиту аутентификации, управление расширениями и обработку платежей. LNbits предупредила, что одно лишь обновление не защитит установки, учетные данные которых уже были скомпрометированы.

«Последние несколько дней выдались очень непростыми: мы не покладая рук работали над выпуском версии 1.7 после того, как наши пользователи и мы понесли убытки», — написал в X создатель LNbits Бен Арк.

LNbits предоставляет программное обеспечение для запуска кошельков Bitcoin Lightning и платёжных приложений, включая кассы для продавцов, сервисы чаевых и платный доступ к контенту. В мае разработчик Бен Арк сообщил, что около 200 000 человек самостоятельно запускают это ПО.

В воскресенье LNbits впервые предупредила операторов о необходимости отключить расширение Paywall на время расследования потенциальной уязвимости. Чуть больше чем через час проект призвал пользователей немедленно выключить серверы LNbits, сославшись на волну атак. Также компания отключила собственные хостируемые установки.

Компания пока не раскрыла подробности эксплойта и не сообщила, сколько пользователей пострадало. В объявлении, сопровождавшем экстренное обновление безопасности, LNbits сообщила, что уязвимость затрагивает все версии до 1.7.0 и создаёт риск кражи средств.

Компания также предупредила, что учётные данные, раскрытые до обновления, могут и после него предоставить злоумышленникам доступ. Операторам рекомендовали сбросить ключи кошельков, заменить учётные данные источников финансирования и считать скомпрометированными секреты, хранящиеся в настройках LNbits. Если есть подозрение на взлом, компания посоветовала перейти на новый сервер.

Cointelegraph обратился за комментариями к Бену Арку и LNbits.

Один из пользователей, Кевин Равенсберг, сообщил, что злоумышленники воспользовались его экземпляром LNbits и вывели около 2,3 миллиона сатоши, или 0,023 биткоина, через недавно созданные учётные записи — прежде чем он успел отключить сервер.

Компания сообщила, что позднее опубликует отдельный отчёт с подробным описанием эксплойта.

Журнал: «Лучшая возможность для покупки биткоина за всю историю» уже наступила: Марк Мосс