LNbits publie un correctif d’urgence 1.7.0 après des attaques contre des serveurs de portefeuilles Lightning et avertit que les fonds sur les anciennes versions sont à risque

LNbits, un système open source gratuit pour exploiter des portefeuilles Bitcoin Lightning, a publié mardi la version 1.7.0 comme mise à jour de sécurité urgente, a rapporté Bitcoin Magazine. Les consignes du projet avertissent que « les fonds exploités sur les versions antérieures de LNbits risquent d’être volés » et demandent aux opérateurs de mettre à jour avant de redémarrer leurs serveurs.

Les attaques ont commencé durant le week-end. Le 8 novembre, LNbits a demandé aux opérateurs d’arrêter leurs serveurs et a désactivé les instances de son service hébergé, en indiquant que des correctifs étaient en préparation, a rapporté The Hacker News. Kevin Ravensberg, qui exploite le bot de pourboires Telegram BitTipBot, affirme que des attaquants ont créé des comptes sur son serveur et retiré 2 285 545 satoshis, soit environ 0,023 bitcoin, entre environ 9 h 22 et 14 h 00 UTC ce jour-là. Il a promis de rembourser ses utilisateurs.

Beaucoup de points restent inconnus. Le projet n’a pas décrit publiquement comment les attaquants se sont introduits, aucun total des pertes sur l’ensemble des serveurs n’a été publié, et le nombre de serveurs touchés n’est pas connu ; un rapport technique complet a été promis. Pour les opérateurs qui soupçonnent une compromission, les consignes conseillent de construire un nouveau serveur et de renouveler les clés de portefeuille et les identifiants stockés, car la mise à jour seule peut ne pas supprimer l’accès des attaquants. L’avis ne concerne que les serveurs LNbits, et non les nœuds Lightning ni d’autres logiciels de portefeuille.