LNbits publie la version 1.7.0, mise à jour de sécurité urgente après les attaques du 8 novembre

LNbits, la plateforme open source de portefeuille et de comptes Lightning Network, a publié la version 1.7.0 le 10 novembre en tant que mise à jour de sécurité urgente et a demandé à tous les opérateurs de mettre à niveau avant de redémarrer leurs serveurs. Le compte X officiel du projet a publié l'annonce avec un lien vers la version GitHub, la qualifiant de « MISE À JOUR DE SÉCURITÉ ».

Cette libération fait suite à une vague d’attaques qui ont débuté ce week-end. Le 8 novembre, LNbits a publié sur X que tous les utilisateurs devaient arrêter leurs serveurs LNbits immédiatement après avoir signalé des attaques actives, ajoutant que des correctifs de sécurité étaient en cours de préparation et qu'il était « préférable de pécher par excès de prudence ».

Le projet a également désactivé les instances sur son service hébergé. Plusieurs rapports ont documenté des créations de comptes et des retraits de fonds non autorisés.

Kevin Ravensberg, opérateur du service de pourboires Telegram BitTipBot, a déclaré publiquement que les attaquants avaient créé de nouveaux comptes sur son instance et retiré 2 285 545 satoshis (environ 0,0229 BTC) entre 09h22 et 14h00 UTC le 8 novembre.

Selon les directives officielles de mise à niveau publiées parallèlement à la version, les versions antérieures à 1.7.0 sont concernées et « les fonds exécutés sur les versions antérieures de LNbits risquent d'être volés ». Le projet indique que la version 1.7.0 inclut des correctifs de sécurité en réponse à l'incident découvert le 8 novembre et qu'un rapport technique complet sur l'exploit suivra.

Il est conseillé aux opérateurs de configurer un nouveau serveur en cas de suspicion de compromission, car la mise à jour seule ne peut pas supprimer l'accès qu'un attaquant aurait déjà pu obtenir. Des étapes de récupération supplémentaires incluent la rotation de toutes les clés du portefeuille utilisateur en tant que super-administrateur, le remplacement des informations d'identification de la source de financement (clés API ou macarons), la rotation d'autres secrets stockés dans les paramètres et la révision ou la recréation de connexions pour des extensions telles que NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat et FOSSA.

Les notes de version de GitHub décrivent un renforcement approfondi de la sécurité en termes d'authentification, de gestion des extensions et de traitement des paiements, ainsi que des mises à jour de dépendances. Les nouvelles fonctionnalités fournies avec la version incluent la prise en charge du portefeuille en chaîne, les paiements de l'offre BOLT12, l'authentification à deux facteurs TOTP, la prise en charge NIP-17, un planificateur de tâches, les mises à jour automatiques des extensions et la prise en charge des factures pour la source de financement LNbits. Le projet note que LNbits fonctionne comme un portefeuille chaud et que les opérateurs doivent conserver uniquement les soldes opérationnels en ligne, examiner régulièrement l'activité et transférer les fonds excédentaires vers des clés hors ligne.

Traduit automatiquement de l'anglais