LNbits、11月8日の資金流出攻撃を受け緊急セキュリティアップデート1.7.0をリリース

オープンソースのLightning NetworkウォレットおよびアカウントプラットフォームであるLNbitsは、11月10日、緊急セキュリティアップデートとしてバージョン1.7.0をリリースし、すべてのオペレーターに対し、サーバーを再起動する前にアップグレードするよう指示しました。プロジェクトの公式Xアカウントは、GitHub releaseへのリンクとともに、これを「SECURITY UPDATE（セキュリティアップデート）」と呼んで発表を投稿しました。

このリリースは、週末に始まった一連の攻撃を受けたものです。11月8日、LNbitsはアクティブな攻撃が報告された後、すべてのユーザーがstop their LNbits servers immediately（直ちにLNbitsサーバーを停止）すべきだとXに投稿し、セキュリティパッチを準備中であること、そして「念には念を入れたほうがよい」と付け加えました。

プロジェクトはまた、ホスト型サービスのインスタンスも無効化しました。複数のレポートが、不正なアカウント作成と資金の引き出しを記録しています。

Telegramの投げ銭サービスBitTipBotの運営者であるKevin Ravensberg氏は、11月8日の09:22から14:00 UTCの間に、攻撃者が自身のインスタンスに新しいアカウントを作成し、2,285,545 satoshis（約0.0229 BTC）を引き出したと公に述べました。

リリースと併せて公開されたofficial upgrade guidanceによると、1.7.0より前のバージョンが影響を受け、「以前のバージョンのLNbitsで運用されている資金は盗まれるリスクがある」とのことです。プロジェクトは、1.7.0には11月8日に発見された事件に対応するセキュリティ修正が含まれており、脆弱性に関する詳細な技術レポートが後日公開される予定であると述べています。

侵害の疑いがある場合、アップデートだけでは攻撃者がすでに取得した可能性のあるアクセス権を削除できないため、オペレーターは新しいサーバーをセットアップすることが推奨されます。追加の復旧手順には、Super Adminとしてすべてのユーザーウォレットキーをローテーションすること、資金源の認証情報（API keysまたはmacaroons）を置き換えること、設定に保存されている他のシークレットをローテーションすること、そしてNWC Provider、LNDHub、Bolt Cards, TPOS、Bleskomat、FOSSAなどの拡張機能の接続を確認または再作成することが含まれます。

GitHubのリリースノートでは、認証、拡張機能管理、支払い処理にわたる広範なセキュリティ強化、および依存関係のアップデートについて説明されています。このバージョンで提供される新機能には、オンチェーンウォレットのサポート、BOLT12オファーの支払い、TOTP二要素認証、NIP-17サポート、ジョブスケジューラ、自動拡張機能アップデート、およびLNbits資金源のホールドインボイスサポートが含まれます。プロジェクトは、LNbitsがホットウォレットとして機能することを指摘し、オペレーターは運用に必要な残高のみをオンラインに保ち、定期的にアクティビティを確認し、余剰資金をオフラインキーに移動すべきであると述べています。