LNbits 发布 1.7.0 紧急安全更新，应对 11月8日 资金遭窃攻击

开源闪电网络钱包和账户平台 LNbits 于 11 月 10 日发布了 1.7.0 版本，作为紧急安全更新，并指示所有操作员在重新启动服务器之前进行升级。该项目的官方 X 账号发布了这一公告，并附带了 GitHub 发布链接，称其为“安全更新”。

此次发布是在周末开始的一波攻击之后进行的。11 月 8 日，LNbits 在 X 上发帖称，在报告了活跃攻击后，所有用户应立即停止其 LNbits 服务器，并补充说正在准备安全补丁，且“宁可信其有，不可信其无”。

该项目还禁用了其托管服务上的实例。多份报告记录了未经授权的账户创建和资金提现。

Kevin Ravensberg，Telegram 打赏服务 BitTipBot 的运营者，公开表示攻击者在他的实例上创建了新账户，并在 11 月 8 日 UTC 时间大约 09:22 至 14:00 之间提取了 2,285,545 satoshis（约 0.0229 BTC）。

根据随版本发布的官方升级指南，1.7.0 之前的版本均受影响，且“运行在早期版本 LNbits 上的资金存在被盗风险”。该项目表示，1.7.0 包含了针对 11 月 8 日发现的事件的安全修复，随后将发布关于该漏洞的完整技术报告。

如果怀疑受到攻击，建议操作员设置一台新服务器，因为仅靠更新无法移除攻击者可能已经获得的访问权限。其他恢复步骤包括以超级管理员身份轮换所有用户钱包密钥、更换资金来源凭据（API 密钥或 macaroons）、轮换存储在设置中的其他机密，以及检查或重新创建 NWC Provider、LNDHub、Bolt Cards、TPOS、Bleskomat 和 FOSSA 等扩展程序的连接。

GitHub 发布说明描述了在身份验证、扩展管理和支付处理方面的广泛安全加固，以及依赖项更新。该版本附带的新功能包括链上钱包支持、BOLT12 报价支付、TOTP 双因素身份验证、NIP-17 支持、任务调度器、扩展自动更新，以及对 LNbits 资金来源的持有发票（hold invoice）支持。该项目指出，LNbits 作为热钱包运行，操作员应仅保留运营余额在线，定期审查活动，并将多余资金转移到离线密钥。

LNbits 由 Ben Arc 于 2019 年作为一个免费开源项目创立，随后成立了商业实体以支持开发。它在任何闪电网络资金来源（包括 LND 和 Core Lightning）之上提供多用户账户和一套庞大的扩展程序。Bitcoin Magazine 在 2024 年 9 月对该项目进行了简介，将其描述为“比特币闪电网络节点的 WordPress”，并指出其被寻求易用闪电网络工具的个人、企业和节点运营商广泛使用。该软件广泛部署在自托管和托管实例中。

截至 1.7.0 版本发布公告，该项目尚未公布所有受影响实例中损失的资金总额。尚未升级的操作员被引导至官方指南，然后再将服务器重新上线。