LNbits spielt nach gemeldeten Bitcoin-Wallet-Diebstählen Notfall-Patch ein

Was passiert ist

Das Projekt warnte, dass Installationen mit älteren Versionen verwundbar seien, und forderte die Betreiber auf, potenziell offengelegte Zugangsdaten auch nach dem Update zu ersetzen. LNbits warnte, dass ein Update allein Installationen nicht schütze, deren Zugangsdaten bereits kompromittiert wurden.

LNbits hatte die Betreiber am Sonntag zunächst aufgefordert, seine Paywall-Erweiterung zu deaktivieren, während eine mögliche Sicherheitslücke untersucht werde. Gut eine Stunde später rief das Projekt die Nutzer auf, ihre LNbits-Server sofort herunterzufahren, und verwies auf eine Welle von Angriffen.

Hinweis: BitMart-Gründer sagt, das Sicherheitsteam sei nach einem neuen Hack „extrem unterbesetzt“. Außerdem warnte das Unternehmen, dass vor dem Update offengelegte Zugangsdaten Angreifern auch danach noch Zugriff verschaffen könnten. Die Betreiber sollten Wallet-Schlüssel zurücksetzen, Zugangsdaten für Finanzierungsquellen ersetzen und in den LNbits-Einstellungen gespeicherte Geheimnisse als kompromittiert behandeln. Bei einem Verdacht auf Kompromittierung wurde zudem empfohlen, auf einen neuen Server umzuziehen.

Die Bitcoin-Lightning-Wallet-Plattform LNbits hat ihre Nutzer dringend aufgefordert, sofort auf die neueste Version zu aktualisieren, nachdem sie eine Welle von Angriffen auf LNbits-Instanzen gemeldet hat, bei denen Gelder gestohlen wurden.

Das Projekt veröffentlichte am Dienstag Version 1.7.0 und bezeichnete sie als kritische Veröffentlichung, die Sicherheitslücken schließt und Authentifizierung, Erweiterungsverwaltung sowie Zahlungsabwicklung stärkt. LNbits stellt Software für den Betrieb von Bitcoin-Lightning-Wallets und Zahlungsanwendungen bereit, darunter Händler-Checkouts, Trinkgeld-Dienste und Paywalls.

Entwickler Ben Arc sagte im Mai, dass rund 200.000 Menschen die Software selbst betreiben. Außerdem nahm das Unternehmen seine eigenen gehosteten Installationen offline.

Das Unternehmen hat den Exploit und die Zahl der betroffenen Nutzer bisher nicht im Detail beschrieben. In einer Ankündigung zum Notfall-Patch erklärte LNbits, die Sicherheitslücke betreffe alle Versionen vor 1.7.0 und gefährde Gelder durch Diebstahl.