LNbits lança versão 1.7.0 como atualização de segurança urgente após ataques de 8 de novembro

Segundo o Bitcoin Magazine, a LNbits lançou a versão 1.7.0 em 10 de novembro como uma atualização de segurança urgente e orientou todos os operadores a atualizar antes de reiniciar seus servidores. O anúncio oficial foi publicado na conta X do projeto, que incluiu um link para o lançamento no GitHub e o descreveu como “SECURITY UPDATE”.

A onda de ataques teve início no fim de semana anterior. Em 8 de novembro, a LNbits postou no X que todos os usuários deveriam parar seus servidores imediatamente após relatar ataques ativos, acrescentando que patches de segurança estavam sendo preparados e que era “melhor errar pelo lado da cautela”. Na mesma data, o projeto desativou instâncias em seu serviço de hospedagem.

Diversos relatos documentaram a criação de contas não autorizadas e a retirada de fundos das instâncias comprometidas.

Kevin Ravensberg, operador do serviço de gorjetas via Telegram BitTipBot, declarou publicamente que atacantes criaram novas contas em sua instância e retiraram 2.285.545 satoshis (aproximadamente 0,0229 BTC) entre cerca de 09:22 e 14:00 UTC em 8 de novembro.

De acordo com o guia de atualização oficial publicado junto ao lançamento, versões anteriores à 1.7.0 estão vulneráveis e “fundos em versões anteriores da LNbits correm risco de serem roubados”. O projeto afirmou que a 1.7.0 inclui correções de segurança em resposta ao incidente de 8 de novembro e que um relatório técnico completo sobre a exploração será divulgado posteriormente.

Os operadores são aconselhados a configurar um novo servidor caso haja suspeita de comprometimento, pois a simples atualização pode não remover o acesso já obtido pelos invasores. As etapas de recuperação recomendadas incluem a rotação de todas as chaves de carteira de usuários como Super Admin, a substituição de credenciais de fontes de financiamento (chaves API ou macaroons), a rotação de outros segredos armazenados nas configurações e a revisão ou recriação de conexões para extensões como NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA.

As notas de lançamento no GitHub descrevem um endurecimento extensivo de segurança em autenticação, gerenciamento de extensões e manuseio de pagamentos, além de atualizações de dependências. Entre os novos recursos da versão estão suporte a carteira on-chain, pagamentos por ofertas BOLT12, autenticação de dois fatores TOTP, suporte ao NIP-17, agendador de tarefas, atualizações automáticas de extensões e suporte a hold invoice para a fonte de financiamento da LNbits.

O projeto ressalta que a LNbits funciona como uma hot wallet e recomenda que os operadores mantenham apenas os saldos operacionais online, revisem regularmente a atividade e transfiram fundos excedentes para chaves offline.

A LNbits foi fundada como um projeto de código aberto em 2019 por Ben Arc e, posteriormente, incorporou uma entidade comercial para apoiar o desenvolvimento. Ela oferece contas multi-usuário e uma ampla gama de extensões sobre qualquer fonte de financiamento Lightning (incluindo LND e Core Lightning). Até o anúncio da v1.7.0, o projeto não divulgou um total agregado de fundos perdidos, e operadores que ainda não atualizaram são direcionados ao guia oficial antes de colocar seus servidores novamente em operação.