LNbits, Bitcoin 지갑 도난 보고 후 긴급 패치 배포

비트코인 라이트닝 월렛 플랫폼 LNbits는 자금 도난을 초래한 LNbits 인스턴스를 겨냥한 일련의 공격을 보고한 후, 사용자들에게 즉시 최신 버전으로 업데이트할 것을 촉구했습니다. 

이 프로젝트는 화요일에 1.7.0 버전을 출시하며, 이를 취약점을 해결하고 인증, 확장 프로그램 관리 및 결제 처리를 강화하는 중요한 릴리스라고 설명했습니다. LNbits는 업데이트만으로는 이미 자격 증명이 노출된 설치 환경을 보호할 수 없다고 경고했습니다.

“우리 사용자와 우리가 피해를 입은 후 v1.7 릴리스를 출시하기 위해 끊임없이 노력한 매우 힘든 며칠이었습니다,”라고 LNbits 제작자 Ben Arc는 X에서 말했습니다. 

LNbits는 가맹점 결제, 팁 서비스 및 페이월(paywalls)을 포함하여 비트코인 라이트닝 월렛 및 결제 애플리케이션을 실행하기 위한 소프트웨어를 제공합니다. 개발자 Ben Arc는 지난 5월에 약 200,000명의 사람들이 이 소프트웨어를 직접 실행하고 있다고 말했습니다.

LNbits는 일요일에 잠재적인 취약점을 조사하는 동안 Paywall 확장 프로그램을 비활성화할 것을 운영자들에게 처음으로 경고했습니다. 한 시간 남짓 후, 이 프로젝트는 일련의 공격을 이유로 사용자들에게 LNbits 서버를 즉시 종료할 것을 촉구했습니다. 또한 자체적으로 호스팅된 설치 환경을 오프라인으로 전환했습니다. 

회사는 아직 익스플로잇(exploit)의 상세 내용과 그로 인해 얼마나 많은 피해가 발생했는지에 대해 자세히 설명하지 않았습니다. 긴급 패치와 함께 발표된 공지에서 LNbits는 이 취약점이 1.7.0 이전의 모든 버전에 영향을 미치며 자금을 도난 위험에 빠뜨린다고 밝혔습니다.

관련 내용: BitMart 설립자, 새로운 해킹 이후 보안팀 ‘심각한 인력 부족’ 상태라고 언급

또한 업그레이드 전에 노출된 자격 증명은 이후에도 공격자에게 접근 권한을 줄 수 있다고 경고하며, 운영자들에게 지갑 키를 재설정하고, 자금원 자격 증명을 교체하며, LNbits 설정에 저장된 비밀 정보를 노출된 것으로 간주할 것을 촉구하고, 침해가 의심되는 경우 새 서버로 이전할 것을 권장했습니다.

Cointelegraph는 Ben Arc와 LNbits에 의견을 요청했습니다.

한 사용자 Kevin Ravensberg는 공격자가 자신의 LNbits 인스턴스를 악용하여 서버를 종료하기 전에 새로 생성된 계정을 통해 약 2.3 million satoshis 또는 0.023 Bitcoin을 인출했다고 말했습니다.

회사는 익스플로잇을 상세히 다루는 별도의 보고서가 뒤따를 것이라고 말했습니다.

매거진: 비트코인의 ‘역대 최고의 매수 기회’가 왔다: Mark Moss