LNbits экстренно выпустил версию 1.7.0 после атак на ряд экземпляров кошельков для сети Lightning, в результате которых были похищены средства.
LNbits — это программное обеспечение для кошельков и платежей в сети Lightning, которое можно развернуть самостоятельно. Его часто используют для приема платежей торговцами, ботов для чаевых и платного доступа к контенту. Ранее разработчик Бен Арк сообщил, что около 200 тысяч человек самостоятельно запустили это ПО.
Команда проекта подтвердила, что все версии до 1.7.0 уязвимы. В новой версии в основном улучшены аутентификация, управление расширениями и обработка платежей. Однако ключевое предупреждение на этот раз заключается не в том, что уязвимость уже устранена, а в том, что одного обновления недостаточно.
Если злоумышленники ранее получили ключи кошелька, учетные данные для доступа к средствам или конфиденциальную информацию, хранившуюся в настройках LNbits, то даже после обновления ПО прежние учетные данные могут по-прежнему давать им доступ.
На данный момент команда проекта не раскрыла полный сценарий атаки и общий размер потерь. Один из операторов, Кевин Равенсберг, сообщил, что злоумышленники перевели около 2,3 миллиона сатоши (примерно 0,023 BTC) с его экземпляра LNbits, создав новую учетную запись.
Пока этот инцидент указывает на проблемы в ПО LNbits и его администрировании, а не в самом протоколе биткоина или сети Lightning.
Этот случай вновь обнажил аспект самостоятельного хранения, который проще всего упустить из виду: ПО можно запускать самостоятельно, но и заботиться о его безопасности тоже приходится самостоятельно. Патч может закрыть дверь, но не способен автоматически прогнать тех, кто уже завладел ключом. $BTC
LNbits — это программное обеспечение для кошельков и платежей в сети Lightning, которое можно развернуть самостоятельно. Его часто используют для приема платежей торговцами, ботов для чаевых и платного доступа к контенту. Ранее разработчик Бен Арк сообщил, что около 200 тысяч человек самостоятельно запустили это ПО.
Команда проекта подтвердила, что все версии до 1.7.0 уязвимы. В новой версии в основном улучшены аутентификация, управление расширениями и обработка платежей. Однако ключевое предупреждение на этот раз заключается не в том, что уязвимость уже устранена, а в том, что одного обновления недостаточно.
Если злоумышленники ранее получили ключи кошелька, учетные данные для доступа к средствам или конфиденциальную информацию, хранившуюся в настройках LNbits, то даже после обновления ПО прежние учетные данные могут по-прежнему давать им доступ.
На данный момент команда проекта не раскрыла полный сценарий атаки и общий размер потерь. Один из операторов, Кевин Равенсберг, сообщил, что злоумышленники перевели около 2,3 миллиона сатоши (примерно 0,023 BTC) с его экземпляра LNbits, создав новую учетную запись.
Пока этот инцидент указывает на проблемы в ПО LNbits и его администрировании, а не в самом протоколе биткоина или сети Lightning.
Этот случай вновь обнажил аспект самостоятельного хранения, который проще всего упустить из виду: ПО можно запускать самостоятельно, но и заботиться о его безопасности тоже приходится самостоятельно. Патч может закрыть дверь, но не способен автоматически прогнать тех, кто уже завладел ключом. $BTC
