Pontos-chave
- A LNbits lançou a versão 1.7.0 em 10 de novembro como uma atualização de segurança urgente após ataques relatados em 8 de novembro.
- O projeto afirma que as versões anteriores à 1.7.0 foram afetadas e que os fundos nelas estão em risco.
- Caso haja suspeita de comprometimento, pode ser necessário usar um servidor novo e trocar as chaves da carteira, as credenciais de financiamento e outros segredos.
Lançamento urgente após relatos de ataques
A LNbits lançou a versão 1.7.0 em 10 de novembro, descrevendo-a como uma atualização de segurança urgente e orientando os operadores a atualizar antes de reiniciar os servidores. O lançamento ocorreu após o projeto relatar ataques em andamento em 8 de novembro. Essa sequência é importante para os operadores porque o alerta não se limitava à instalação de uma atualização de rotina: a LNbits já havia orientado os usuários a parar seus servidores enquanto preparava as correções, e as novas instruções afirmam que as versões antigas continuam vulneráveis.
No aviso de 8 de novembro, o projeto recomendou que todos os usuários parassem imediatamente os servidores LNbits e afirmou que era mais seguro pecar pelo excesso de cautela. Também desativou as instâncias em seu serviço hospedado. A medida indica que a resposta abrangeu tanto os operadores que hospedam o serviço por conta própria quanto o ambiente hospedado do próprio projeto, embora a fonte não informe quantas instâncias foram afetadas nem apresente um relato completo da interrupção.
Relatos descreveram a criação não autorizada de contas, seguida de saques em instâncias do LNbits. Kevin Ravensberg, que opera o serviço de gorjetas no Telegram BitTipBot, disse que invasores abriram novas contas em sua instância e sacaram 2.285.545 satoshis, aproximadamente 0,0229 BTC. Ele situou a atividade entre cerca de 09:22 e 14:00 UTC de 8 de novembro. Trata-se de um caso documentado, não de um total divulgado das perdas em todo o ecossistema LNbits.
As orientações de atualização vão além de instalar o patch
As orientações de atualização do LNbits identificam as versões anteriores à 1.7.0 como afetadas e alertam que os fundos nessas versões correm risco de roubo. A instrução prática é instalar a versão lançada antes de colocar o servidor novamente no ar, em vez de considerar que o aviso anterior de desligamento encerra a resposta ao incidente. O projeto afirma que a versão contém correções de segurança relacionadas ao incidente descoberto em 8 de novembro, mas ainda não publicou um relato técnico completo da exploração.
Recomenda-se que operadores que suspeitem de comprometimento da instância configurem um servidor novo. O LNbits alerta explicitamente que uma simples atualização não pode remover o acesso que um invasor talvez já tenha obtido. Essa distinção é importante: a aplicação do patch corrige o software vulnerável, enquanto a reconstrução é apresentada como uma forma de responder a um possível acesso persistente. As orientações não determinam que todo operador precise de um servidor novo; essa medida é indicada apenas quando há suspeita de comprometimento.
A lista de verificação para recuperação também recomenda que, como Super Admin, sejam rotacionadas todas as chaves das carteiras dos usuários, substituídas as credenciais das fontes de financiamento, como chaves de API ou macaroons, e alterados outros segredos armazenados nas configurações. Essas medidas refletem a variedade de informações que um invasor poderia usar após obter acesso. Os operadores também devem revisar ou recriar as conexões das extensões, para que a recuperação não se limite à aplicação principal do LNbits nem às credenciais usadas para financiá-la.
O reforço da segurança chega com novos recursos
Entre as extensões e conexões mencionadas estão NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA. A inclusão delas amplia o escopo operacional da resposta para além de uma simples redefinição de senha: os operadores precisam avaliar as integrações vinculadas às suas instâncias e determinar se as credenciais ou conexões devem ser substituídas. A fonte apresenta essa lista como parte das orientações de recuperação, mas não afirma que cada extensão mencionada tenha sido, por si só, a causa dos ataques.
O projeto descreve o LNbits como uma carteira quente e recomenda que os operadores mantenham online apenas os saldos operacionais, revisem as atividades regularmente e transfiram os fundos excedentes para chaves offline. Essas precauções são especialmente relevantes enquanto os detalhes técnicos do incidente e os valores totais das perdas não forem divulgados. Elas não substituem a instalação da atualização de segurança nem o cumprimento das etapas de recuperação quando houver suspeita de comprometimento; descrevem como os operadores podem limitar o valor mantido online e monitorar as atividades.
As notas de lançamento no GitHub caracterizam a versão 1.7.0 como um amplo reforço da segurança em autenticação, gerenciamento de extensões e processamento de pagamentos, além de atualizações de dependências. Essas categorias mostram que a versão abrange várias partes do software, em vez de anunciar apenas uma mudança visível. No entanto, sem o relatório técnico completo prometido, a fonte não identifica a falha exata nem explica quais dessas áreas foram exploradas no incidente de 8 de novembro.
Exposição e perdas totais ainda não estão claras
A versão 1.7.0 também traz recursos além da resposta de segurança: suporte a carteiras on-chain, pagamentos de ofertas BOLT12, autenticação de dois fatores por TOTP, suporte a NIP-17 e um agendador de tarefas. A versão também inclui atualizações automáticas de extensões e suporte a faturas hold para a fonte de financiamento do LNbits. A inclusão desses recursos na mesma versão amplia suas funcionalidades, mas a principal instrução do projeto continua voltada à segurança: os operadores devem atualizar o software antes de reiniciar seus servidores.
O LNbits começou em 2019 como um projeto gratuito e de código aberto, fundado por Ben Arc, e posteriormente incorporou uma entidade comercial para apoiar o desenvolvimento. Ele oferece contas multiusuário e um amplo conjunto de extensões sobre fontes de financiamento Lightning, incluindo LND e Core Lightning. Seu software é usado tanto em instâncias auto-hospedadas quanto em instâncias gerenciadas; portanto, o alerta de 8 de novembro diz respeito a um ecossistema com diferentes formas de operação, e não a apenas um modelo de implantação.
Um perfil da LNbits publicado pela Bitcoin Magazine em setembro de 2024 descreveu a LNbits como o WordPress para um nó Lightning do Bitcoin e destacou seu uso por indivíduos, empresas e operadores de nós que buscam ferramentas Lightning acessíveis. O impacto financeiro total do incidente permanece desconhecido: a LNbits não publicou um total dos fundos perdidos em todas as instâncias afetadas, e seu relatório técnico completo ainda está pendente. Até que esses detalhes estejam disponíveis, os operadores devem consultar as orientações oficiais antes de reativar os servidores.
Fonte: BitcoinMagazine
