LNbits 1.7.0 reagiert auf Sicherheitsvorfall nach Angriffen am 8. November

Dringende Veröffentlichung nach gemeldeten Angriffen

LNbits hat am 10. November Version 1.7.0 veröffentlicht, als dringendes Sicherheitsupdate bezeichnet und Betreiber aufgefordert, vor dem Neustart ihrer Server ein Upgrade durchzuführen. Die Veröffentlichung folgte auf aktive Angriffe, die das Projekt am 8. November gemeldet hatte. Diese Abfolge ist für Betreiber wichtig, denn die Warnung beschränkte sich nicht darauf, ein routinemäßiges Softwareupdate zu installieren: LNbits hatte Nutzer bereits aufgefordert, ihre Server anzuhalten, während Patches vorbereitet wurden. Die neue Empfehlung besagt, dass ältere Versionen weiterhin gefährdet sind.

In seiner Mitteilung vom 8. November forderte das Projekt alle Nutzer auf, ihre LNbits-Server sofort anzuhalten, und erklärte, es sei sicherer, auf Nummer sicher zu gehen. Außerdem deaktivierte es Instanzen seines gehosteten Dienstes. Dies deutet darauf hin, dass die Reaktion sowohl Betreiber selbst gehosteter Instanzen als auch die eigene gehostete Umgebung des Projekts umfasste. Die Quelle nennt jedoch weder die Anzahl der betroffenen Instanzen noch liefert sie einen vollständigen Bericht über die Ausfälle.

Berichten zufolge wurden unbefugt Konten angelegt und anschließend Guthaben von LNbits-Instanzen abgezogen. Kevin Ravensberg, Betreiber des Telegram-Trinkgeldservices BitTipBot, sagte, Angreifer hätten auf seiner Instanz neue Konten eröffnet und 2.285.545 Satoshis abgehoben, was etwa 0,0229 BTC entspricht. Er ordnete die Aktivitäten dem Zeitraum zwischen etwa 09:22 und 14:00 UTC am 8. November zu. Dabei handelt es sich um einen dokumentierten Einzelfall, nicht um eine veröffentlichte Gesamtsumme der Verluste im LNbits-Ökosystem.

Die Upgrade-Empfehlungen gehen über die Installation des Patches hinaus

Laut den Upgrade-Empfehlungen von LNbits sind Versionen vor 1.7.0 betroffen; Guthaben in diesen Versionen ist demnach von Diebstahl bedroht. Die praktische Anweisung lautet, das Release zu installieren, bevor ein Server wieder online geht, statt die frühere Aufforderung zum Herunterfahren als Abschluss der Reaktion zu betrachten. Das Projekt erklärt, die Version enthalte Sicherheitskorrekturen für den am 8. November entdeckten Vorfall, hat seinen vollständigen technischen Bericht zum Exploit jedoch noch nicht veröffentlicht.

Betreibern, die vermuten, dass eine Instanz kompromittiert wurde, wird empfohlen, einen neuen Server einzurichten. LNbits warnt ausdrücklich davor, dass ein Update allein keinen Zugriff beseitigen kann, den sich ein Angreifer möglicherweise bereits verschafft hat. Diese Unterscheidung ist wichtig: Ein Patch behebt die verwundbare Software, während ein Neuaufbau als Maßnahme bei möglichem fortbestehendem Zugriff empfohlen wird. Aus den Empfehlungen geht nicht hervor, dass alle Betreiber einen neuen Server benötigen; dieser Schritt ist an den Verdacht einer Kompromittierung geknüpft.

Die Wiederherstellungs-Checkliste fordert außerdem dazu auf, als Super Admin alle Wallet-Schlüssel der Nutzer zu erneuern, Zugangsdaten für Finanzierungsquellen wie API-Schlüssel oder Macaroons zu ersetzen und weitere in den Einstellungen gespeicherte Geheimnisse zu ändern. Diese Schritte spiegeln die Bandbreite an Informationen wider, die ein Angreifer nach einem Zugriff möglicherweise nutzen könnte. Betreiber werden zudem gebeten, Verbindungen zu Erweiterungen zu überprüfen oder neu einzurichten. Die Wiederherstellung beschränkt sich also weder auf die LNbits-Kernanwendung noch auf die zur Finanzierung verwendeten Zugangsdaten.

Sicherheitsverbesserungen kommen mit neuen Funktionen

Zu den genannten Erweiterungen und Verbindungen zählen NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat und FOSSA. Durch ihre Einbeziehung geht der operative Umfang der Reaktion über einen einzelnen Passwort-Reset hinaus: Betreiber müssen die mit ihren Instanzen verbundenen Integrationen prüfen und feststellen, ob Zugangsdaten oder Verbindungen ersetzt werden sollten. Die Quelle führt diese Liste als Teil der Wiederherstellungshinweise auf, sagt jedoch nicht, dass jede der genannten Erweiterungen selbst die Ursache der Angriffe war.

Das Projekt beschreibt LNbits als Hot Wallet und empfiehlt Betreibern, nur betriebsnotwendige Guthaben online zu halten, Aktivitäten regelmäßig zu prüfen und überschüssige Mittel auf Offline-Schlüssel zu übertragen. Diese Vorsichtsmaßnahmen sind besonders relevant, solange die technischen Details des Vorfalls und die vollständigen Verlustzahlen noch nicht veröffentlicht wurden. Sie ersetzen weder die Installation des Sicherheitsupdates noch die Befolgung der Wiederherstellungsschritte bei Verdacht auf eine Kompromittierung; vielmehr beschreiben sie, wie Betreiber den online gehaltenen Betrag begrenzen und Aktivitäten überwachen können.

In den GitHub-Versionshinweisen wird 1.7.0 als umfassende Sicherheitsverbesserung in den Bereichen Authentifizierung, Erweiterungsverwaltung und Zahlungsabwicklung beschrieben, ergänzt um Aktualisierungen von Abhängigkeiten. Diese Kategorien zeigen, dass die Version mehrere Bereiche der Software betrifft und nicht nur eine einzelne sichtbare Änderung ankündigt. Ohne den angekündigten vollständigen technischen Bericht benennt die Quelle jedoch weder die konkrete Schwachstelle noch erklärt sie, welcher dieser Bereiche beim Vorfall vom 8. November ausgenutzt wurde.

Ausmaß der Gefährdung und Gesamtverluste sind weiterhin unklar

Version 1.7.0 bringt neben den Sicherheitsmaßnahmen auch neue Funktionen: Unterstützung für On-Chain-Wallets, Zahlungen über BOLT12-Angebote, TOTP-Zwei-Faktor-Authentifizierung, NIP-17-Unterstützung und einen Job-Scheduler. Außerdem umfasst die Version automatische Aktualisierungen von Erweiterungen und Unterstützung für Hold-Rechnungen als LNbits-Finanzierungsquelle. Ihr gemeinsames Erscheinen in derselben Version erweitert den Funktionsumfang, doch die zentrale Anweisung des Projekts bleibt sicherheitsbezogen: Betreiber sollten ihre Server aktualisieren, bevor sie sie neu starten.

LNbits entstand 2019 als kostenloses Open-Source-Projekt, gegründet von Ben Arc, und gründete später eine kommerzielle Organisation zur Unterstützung der Entwicklung. Die Software bietet Mehrbenutzerkonten und eine umfangreiche Sammlung von Erweiterungen auf Basis von Lightning-Finanzierungsquellen wie LND und Core Lightning. Sie wird sowohl in selbst gehosteten als auch in verwalteten Instanzen eingesetzt. Die Warnung vom 8. November betrifft daher ein Ökosystem mit unterschiedlichen Betriebsmodellen und nicht nur eine einzige Art der Bereitstellung.

Ein Porträt in der Bitcoin Magazine vom September 2024 beschrieb LNbits als WordPress für einen Bitcoin-Lightning-Node und wies darauf hin, dass Einzelpersonen, Unternehmen und Node-Betreiber LNbits nutzen, um leichter zugängliche Lightning-Tools zu erhalten. Die finanziellen Gesamtauswirkungen des Vorfalls sind weiterhin unbekannt: LNbits hat keine Gesamtsumme der auf betroffenen Instanzen verlorenen Gelder veröffentlicht, und der vollständige technische Bericht steht noch aus. Bis diese Informationen vorliegen, werden Betreiber angewiesen, die offiziellen Hinweise zu beachten, bevor sie Server wieder in Betrieb nehmen.

Quelle: BitcoinMagazine