LNbits 1.7.0 affronta un incidente di sicurezza dopo gli attacchi dell’8 novembre

Il rilascio urgente segue gli attacchi segnalati

LNbits ha rilasciato la versione 1.7.0 il 10 novembre, definendola un aggiornamento di sicurezza urgente e invitando gli operatori ad aggiornare prima di riavviare i server. Il rilascio è avvenuto in seguito agli attacchi in corso segnalati dal progetto l’8 novembre. Questa sequenza è importante per gli operatori, perché l’avviso non si limitava a raccomandare l’installazione di un normale aggiornamento software: LNbits aveva già invitato gli utenti a fermare i server mentre preparava le patch e le nuove indicazioni affermano che le versioni precedenti restano vulnerabili.

Nell’avviso dell’8 novembre, il progetto ha invitato tutti gli utenti a fermare immediatamente i server LNbits e ha affermato che era meglio agire con prudenza. Ha inoltre disattivato le istanze del proprio servizio ospitato. L’intervento indica che la risposta ha riguardato sia gli operatori che gestiscono autonomamente il servizio sia l’ambiente ospitato del progetto, anche se la fonte non specifica quante istanze siano state interessate né fornisce un resoconto completo delle interruzioni.

Le segnalazioni descrivono la creazione di account non autorizzati, seguita da prelievi da istanze LNbits. Kevin Ravensberg, che gestisce il servizio di mance Telegram BitTipBot, ha dichiarato che gli aggressori hanno aperto nuovi account sulla sua istanza e prelevato 2.285.545 satoshi, circa 0,0229 BTC. Ha collocato l’attività tra le 09:22 e le 14:00 UTC dell’8 novembre circa. Si tratta di un caso documentato, non di una stima pubblicata delle perdite complessive nell’ecosistema LNbits.

Le indicazioni per l’aggiornamento vanno oltre la semplice installazione della patch

Le indicazioni di LNbits per l’aggiornamento identificano come vulnerabili le versioni precedenti alla 1.7.0 e avvertono che i fondi conservati su queste versioni sono a rischio di furto. L’indicazione pratica è installare la release prima di rimettere online un server, anziché considerare il precedente avviso di arresto come la conclusione dell’intervento. Il progetto afferma che la versione include correzioni di sicurezza relative all’incidente scoperto l’8 novembre, ma non ha ancora pubblicato un resoconto tecnico completo dell’exploit.

Agli operatori che sospettano che un’istanza sia stata compromessa viene consigliato di configurare un nuovo server. LNbits avverte esplicitamente che un semplice aggiornamento non può rimuovere l’accesso che un aggressore potrebbe aver già ottenuto. La distinzione è importante: applicare la patch corregge il software vulnerabile, mentre ricostruire il server viene indicato come una misura per reagire a un possibile accesso persistente. Le indicazioni non stabiliscono che ogni operatore debba configurare un nuovo server: rendono questa misura necessaria solo in caso di sospetta compromissione.

La procedura di ripristino prevede inoltre di ruotare, in qualità di Super Admin, tutte le chiavi dei wallet degli utenti, sostituire le credenziali delle fonti di finanziamento, come chiavi API o macaroon, e modificare gli altri segreti salvati nelle impostazioni. Queste misure riflettono la varietà di informazioni che un aggressore potrebbe essere in grado di utilizzare dopo aver ottenuto l’accesso. Agli operatori viene chiesto anche di esaminare o ricreare le connessioni alle estensioni, così che il ripristino non si limiti all’applicazione LNbits principale o alle credenziali usate per finanziarla.

Il rafforzamento della sicurezza arriva insieme a nuove funzionalità

Tra le estensioni e le connessioni citate figurano NWC Provider, LNDHub, Bolt Cards, TPOS, Bleskomat e FOSSA. La loro inclusione amplia l’ambito operativo della risposta, che non si limita al ripristino di una singola password: gli operatori devono valutare le integrazioni collegate alle proprie istanze e stabilire se sia necessario sostituire credenziali o connessioni. La fonte fornisce questo elenco nell’ambito delle indicazioni per il ripristino, ma non afferma che ciascuna delle estensioni citate sia stata la causa degli attacchi.

Il progetto descrive LNbits come un hot wallet e consiglia agli operatori di mantenere online solo i fondi necessari alle operazioni, controllare regolarmente l’attività e trasferire i fondi in eccesso su chiavi offline. Queste precauzioni sono particolarmente rilevanti finché i dettagli tecnici dell’incidente e l’entità complessiva delle perdite non saranno resi noti. Non sostituiscono l’installazione dell’aggiornamento di sicurezza né la procedura di ripristino da seguire in caso di sospetta compromissione; indicano invece come gli operatori possano limitare i fondi detenuti online e monitorare l’attività.

Le note di rilascio su GitHub descrivono la versione 1.7.0 come un ampio rafforzamento della sicurezza in materia di autenticazione, gestione delle estensioni e gestione dei pagamenti, accompagnato da aggiornamenti delle dipendenze. Questi ambiti mostrano che il rilascio interessa diverse parti del software, anziché annunciare un’unica modifica visibile. Tuttavia, in assenza del rapporto tecnico completo promesso, la fonte non identifica la vulnerabilità precisa né spiega quale di questi ambiti sia stato sfruttato nell’incidente dell’8 novembre.

Entità dell’esposizione e perdite complessive ancora da chiarire

La versione 1.7.0 introduce anche funzionalità che vanno oltre la risposta all’incidente di sicurezza: supporto ai wallet on-chain, pagamenti con offerte BOLT12, autenticazione a due fattori TOTP, supporto NIP-17 e uno scheduler di processi. Il rilascio include inoltre aggiornamenti automatici delle estensioni e il supporto alle hold invoice per la fonte di finanziamento LNbits. La loro introduzione nella stessa versione amplia le funzionalità del software, ma l’indicazione principale del progetto resta incentrata sulla sicurezza: gli operatori dovrebbero aggiornare prima di riavviare i server.

LNbits è nato nel 2019 come progetto gratuito e open source fondato da Ben Arc; in seguito è stata costituita un’entità commerciale per sostenerne lo sviluppo. Offre account multiutente e un’ampia serie di estensioni basate su fonti di finanziamento Lightning, tra cui LND e Core Lightning. Il software viene utilizzato sia tramite istanze autogestite sia tramite istanze gestite, quindi l’avviso dell’8 novembre riguarda un ecosistema con diverse modalità operative, non un unico modello di distribuzione.

Un profilo di settembre 2024 pubblicato da Bitcoin Magazine ha descritto LNbits come il WordPress per un nodo Bitcoin Lightning e ne ha sottolineato l’utilizzo da parte di privati, aziende e operatori di nodi alla ricerca di strumenti Lightning accessibili. L’impatto finanziario complessivo dell’incidente è ancora sconosciuto: LNbits non ha pubblicato una cifra totale dei fondi persi in tutte le istanze interessate e il rapporto tecnico completo è ancora in preparazione. In attesa che siano disponibili ulteriori dettagli, agli operatori viene raccomandato di consultare le indicazioni ufficiali prima di rimettere in servizio i server.

Fonte: BitcoinMagazine